身份安全工程师成长资料包

身份安全工程师成长之路

适用对象：刚入职的校招程序员。目标不是“会接一个登录 SDK”，而是逐步成为能理解业务风险、设计身份平台、交付安全系统，并能把 AI Agent 纳入身份治理的身份安全专家。
基线日期：2026-08-23。标准和 AI 部分应每季度复查一次。

怎么使用

按顺序阅读，但以项目驱动学习：每学一个主题，就产出代码、设计文档、威胁模型、指标或复盘。建议每周投入 6–8 小时，工作中的真实任务优先于课程。

全书采用“反直觉问题 → 真实结果 → 底层模型 → 逐层分析 → 动手验证 → 工程扩展 → 面试/评审 → 小结”的统一节奏。固定角色“小安”代表刚入职工程师，用于提出常见但合理的疑问。

完整成长手册：领域地图、阶段路线、知识树和工作方法。
实战项目与作品集：从登录服务到 Agent 授权的递进项目。
AI 与 Agent 身份安全：先进 AI 知识、AI 工程、安全与身份治理。
晋升能力矩阵：初级到专家的能力、证据、评审标准。
资源索引与 90 天计划：一手资料、学习顺序和入职执行表。

完整教材目录

摘要文档用于规划，下面的章节才是逐点学习正文：

配套材料：

一句话路线图

text

软件工程基本功
  → 认证/授权协议与密码学常识
  → 企业 IAM / CIAM / IGA / PAM / NHI 业务
  → 高可用身份平台、风险控制和零信任
  → AI 辅助检测与运营 + Agent 身份/委托/最小权限
  → 跨团队架构、业务指标、标准影响力和人才培养

成长原则

先掌握 HTTP、分布式系统、数据库、Linux、云原生，再谈“安全架构”。身份系统首先是关键基础设施。
把认证（你是谁）、授权（你能做什么）、治理（为什么仍然能做）、审计（谁在何时做了什么）分开思考。
协议要能手写最小实现，但生产环境优先使用成熟库和经过验证的产品。
每个方案同时回答五个问题：攻击者是谁、资产是什么、信任边界在哪、失败模式是什么、如何度量有效。
AI 不是魔法检测器。高质量数据、清晰标签、离线评估、线上监控、人工兜底比“换更大模型”更重要。
晋升靠持续扩大影响范围并留下可验证证据，而不是只靠工龄、加班或证书数量。

建议的最终作品集

完成本资料包后，至少应有：

一个支持 OIDC/OAuth 2.1 安全实践、Passkey、会话撤销的登录系统；
一个 RBAC + ABAC/ReBAC 的授权服务及策略测试；
一个身份生命周期与权限审计项目；
一个工作负载身份或短期凭证项目；
一个身份风险检测/解释/处置的 AI 项目；
一个有显式用户委托、工具最小权限、审批和审计的 Agent 项目；
3 篇高质量设计文档、2 份威胁模型、1 次事故复盘和一套指标看板。

继续阅读 Agent 身份专题

六家厂商横向比较 · Google 身份落地 · SSO 与 Agent 求职项目 · 近期研究 · 中文日报