身份安全成长手册

1. 先看懂这个领域

身份安全解决的是：在正确的时间，以可验证的身份和上下文，让正确的主体访问正确的资源，并持续确认这种访问仍然合理。

主体不再只有“人”：还包括设备、服务、容器、API Key、CI/CD 任务、机器人和 AI Agent。资源也不只是一张网页，而是数据、API、模型、工具、密钥、审批权和业务动作。

1.1 六块业务版图

版图	典型对象	核心问题	常见技术/产品能力
Workforce IAM	员工、外包、合作方	入转调离、SSO、MFA	IdP、目录、OIDC/SAML、SCIM
CIAM	消费者/客户	注册登录、账号恢复、隐私、反欺诈、转化率	OIDC、Passkey、风险认证、账户合并
IGA	身份与权限全局	谁为什么有权限，是否仍需要	JML、访问申请/复核、SoD、角色挖掘
PAM	管理员和高危权限	特权如何审批、隔离、审计	Vault、JIT/JEA、会话代理、命令审计
NHI/Workload Identity	服务、Pod、流水线、密钥	非人身份如何发放、轮换、撤销	PKI、mTLS、SPIFFE/SPIRE、云 IAM
Identity Threat/Fraud	攻击者与异常行为	凭证滥用、接管、横向移动如何发现	UEBA、ITDR、图分析、风险引擎

1.2 四个必须分清的动作

• 身份证明（identity proofing）：现实主体与数字身份建立可信绑定。
• 认证（authentication）：验证当前访问者控制某个认证器。
• 授权（authorization）：对具体主体、资源、动作和上下文做允许/拒绝决策。
• 治理（governance）：从业务理由、职责冲突、生命周期和审计角度控制权限。

1.3 系统级思维模型

一次访问应被建模为：

Decision = Policy(Subject, Resource, Action, Context, Delegation, Risk, Time)

其中：

• Subject：人、设备、工作负载或 Agent 的稳定身份；
• Context：设备健康、网络、地理、会话、新鲜认证、业务状态；
• Delegation：是否代表某个人/服务行动，委托链是否完整；
• Risk：实时风险分数及可解释证据；
• Decision：不仅是 allow/deny，也可要求 step-up、审批、缩小范围或只读。

2. 技术知识树

2.1 软件工程底座

必须达到能独立排障和上线关键服务的水平：

• 一门主语言深入：Java/Go/TypeScript/Python 中至少一门；理解并发、内存、异常、依赖和测试。
• 网络：DNS、TCP/TLS、HTTP、Cookie、CORS、反向代理、负载均衡。
• 数据：关系数据库、事务、索引、缓存、一致性、消息队列、审计日志。
• 系统：Linux、进程/权限、容器、Kubernetes、可观测性、CI/CD、IaC。
• 工程：Git、代码评审、单元/集成/契约/端到端测试、灰度、回滚、SLO。

达标证据：能画出登录请求的完整时序图；能从浏览器、网关、应用、IdP、数据库和日志逐层定位故障。

2.2 密码学与认证器

不要求成为密码学家，但必须知道哪里不能自己发明：

• 哈希、MAC、对称/非对称加密、数字签名、证书链、PKI、密钥轮换。
• 密码存储使用内存困难 KDF（如 Argon2id），理解盐、pepper、速率限制。
• TLS/mTLS、JWS/JWE、JWT 的签名验证、iss/aud/exp/nbf/jti。
• TOTP、Push、硬件安全密钥、WebAuthn/Passkey；理解抗钓鱼与账号恢复。
• KMS/HSM、信封加密、密钥职责分离、短期凭证优先。

常见坑：把 Base64 当加密；信任 JWT header 指定的算法；只解析不验签；不校验 audience；长期 token 写日志；恢复流程弱于登录流程。

2.3 联邦与生命周期协议

学习顺序：

1. Session/Cookie 与传统服务端会话；
2. OAuth 2.0/2.1：授权码 + PKCE、Client Credentials、scope、resource/audience、refresh rotation；
3. OpenID Connect：ID Token、UserInfo、nonce、Discovery、JWKS；
4. SAML 2.0：企业存量场景、签名包裹与元数据；
5. SCIM 2.0：用户/组供应、幂等、增量同步、离职撤权；
6. Shared Signals/CAEP/RISC：会话期间的风险与状态变化传播；
7. FAPI：高价值 API 的强安全配置。

生产安全清单：精确 redirect URI、PKCE、state/nonce、最小 scope、短 access token、轮换 refresh token、sender-constrained token（mTLS/DPoP）、密钥轮换、撤销与连续访问评估。

2.4 授权模型

模型	适合	局限
ACL	小规模资源直接授权	难治理、难解释全局权限
RBAC	职位职责稳定的企业权限	角色爆炸、上下文不足
ABAC	属性和上下文丰富的动态策略	属性可信度与策略复杂度
ReBAC	文档分享、组织/项目关系	图规模、关系一致性、调试
PBAC	将策略作为代码统一决策	需要策略工程、测试和发布体系

真正成熟的授权平台应有 PDP/PEP 分离、默认拒绝、策略版本、静态检查、单元测试、仿真/影子评估、决策日志、解释能力和紧急回滚。

2.5 目录、治理与特权

• 目录模型：唯一标识、别名、组、嵌套组、来源优先级、合并与去重。
• JML：Joiner/Mover/Leaver 的触发、审批、供应、回收、异常补偿。
• 权限治理：出生权限、申请、期限、复核、SoD、孤儿账号、休眠权限。
• PAM：Vault、凭证代理、JIT/JEA、强审批、双人复核、会话记录。
• 数据治理：最小采集、用途限制、留存、删除、跨境、主体权利。

2.6 云原生与非人身份

• 云 IAM：角色承担、临时凭证、资源策略与身份策略、跨账号信任。
• Kubernetes：ServiceAccount、Projected Token、RBAC、Admission Policy、Secret 管理。
• SPIFFE/SPIRE：以 SPIFFE ID、SVID、Workload API 建立可证明的工作负载身份。
• 供应链：CI 身份、制品签名、构建证明、部署身份；禁止共享长期云密钥。
• 机器身份库存：owner、用途、最后使用、权限、轮换状态、依赖和撤销路径。

2.7 攻击与防御

要能从攻防两端解释：撞库、密码喷洒、钓鱼、MFA fatigue、SIM swap、会话劫持、OAuth consent phishing、token theft、Golden SAML、Kerberoasting、目录复制、权限提升、影子管理员、服务账号滥用和恢复流程接管。

检测闭环：遥测 → 特征 → 检测 → 风险决策 → 自动/人工响应 → 复盘 → 规则/模型更新。

3. 分阶段成长路线

阶段 A：0–3 个月——能安全地写代码

目标：理解团队系统和基本身份链路，交付低风险改动。

学习：HTTP/TLS、Cookie/Session、SQL、Linux、团队语言；认证/授权区别；OWASP 基础；OIDC 登录时序；日志脱敏。

工作产出：

• 画出公司身份架构、数据流、信任边界和 owner 图；
• 本地跑通一个 OIDC 登录 demo，并手工检查 token；
• 修复 2–3 个真实问题，补齐测试和监控；
• 建立个人术语表、事故库和每周学习日志。

验收：能解释 401/403 差别、access token 与 ID token 差别、CSRF/XSS 对登录的影响；代码无明文密钥和敏感日志。

阶段 B：3–6 个月——能独立交付一个身份功能

目标：独立负责小型功能从设计到上线。

学习：OAuth/OIDC 安全实践、JWT/密钥轮换、MFA/Passkey、RBAC、审计、缓存与一致性、SLO。

工作产出：

• 完成 Passkey/MFA、会话管理、应用接入或权限审批中的一个完整功能；
• 写设计文档、威胁模型、发布/回滚方案；
• 建立核心指标：成功率、P95/P99 延迟、失败原因、恢复率、安全事件。

验收：可独立值班和排障；上线后用数据证明效果；能识别协议实现中的典型漏洞。

阶段 C：6–12 个月——能负责一个子系统

目标：对可靠性、安全性和业务结果负责。

学习：SCIM/JML、策略引擎、风控、云 IAM、分布式系统、容量与灾备。

工作产出：

• 负责一个身份子系统季度路线；
• 完成一次性能/可靠性专项和一次安全专项；
• 主导一次故障复盘；沉淀接入规范和自动化测试；
• 与产品/合规/客服共同定义业务指标。

验收：不仅能做功能，也能降低接入周期、告警噪声、账号接管率或人工运营成本。

阶段 D：1–2 年——高级工程师候选

目标：解决模糊、跨系统问题，形成可复用平台能力。

重点：IGA/PAM/NHI 任选一个纵深；ABAC/ReBAC/PBAC；零信任；风险认证；数据与 AI 工程。

代表作：统一授权服务、全链路会话撤销、非人身份治理、权限图谱、异常访问检测、身份数据平台之一。

验收：影响 2–3 个团队；设计经受生产规模和攻击场景；能指导新人；用业务/风险指标证明价值。

阶段 E：2–3 年——资深/领域骨干

目标：拥有一个领域方向，承担跨团队架构和年度目标。

能力：技术路线取舍、build vs buy、迁移策略、合规映射、成本模型、攻防演练、组织协同。

产出：平台级 RFC、1–2 年演进路线、重大迁移、红队整改、标准化接入、人才培养。

阶段 F：3–5 年——专家/技术负责人

目标：把身份能力变成公司级安全与业务基础设施。

能力：定义北极星指标与风险偏好；统一人/设备/工作负载/Agent 身份；影响产品和组织决策；参与开源、标准或行业社区。

验收：成果跨业务复用并持续演进；显著降低重大风险或创造业务增长；培养出可接棒的负责人。

4. 业务能力怎么练

每个需求都写一页“业务安全卡”：

1. 用户和业务流程是什么？成功指标是什么？
2. 要保护的资产和最坏损失是什么？
3. 主体、资源、动作、上下文、信任边界是什么？
4. 攻击/误用/故障路径是什么？
5. 控制会增加多少摩擦和成本？谁承担？
6. 如何上线、观测、回滚和审计？

常见指标：

• 安全：ATO 率、钓鱼抵抗认证覆盖率、高危权限暴露时长、孤儿身份数、撤权 SLA、密钥平均年龄。
• 可靠性：认证可用性、P99、token 签发失败率、目录同步延迟、灾备 RTO/RPO。
• 体验：注册/登录成功率、恢复成功率、MFA 放弃率、工单率。
• 效率：应用接入周期、权限申请交付时间、人工复核时长、自动处置率。
• 治理：权限复核完成率、SoD 冲突、过度授权比例、审计发现关闭时间。

不要用“拦截次数”单独证明安全价值，它可能只是噪声增加。应同时报告准确率、影响用户、避免损失、处置成本和残余风险。

4.1 国内业务的合规工程基本功

法规不是让工程师背处罚条款，而是把义务变成可验证控制。至少能与法务、合规共同完成：

• 为注册、认证、风控、审计分别标明处理目的、合法性基础、字段、来源、共享方、保存期限和删除方式；
• 对身份证件、生物识别、精确位置等敏感个人信息做更严格的授权、加密、访问审计和影响评估；
• 让查阅、复制、更正、删除、注销、撤回同意等权利请求能落实到身份主数据、缓存、日志和下游系统；
• 建立数据分类分级、最小权限、强认证、加密、备份、事件响应和供应商/委托处理控制；
• 为个人信息保护合规审计保留制度、流程、权限配置、访问日志、影响评估、事件处置和整改证据；
• 将模型输入、检索语料、向量库、提示/响应、评估数据和人工标注纳入同一套数据治理；
• 区分内部研发使用 AI 与向境内公众提供生成式 AI 服务，交由法务确认具体适用要求。

截至 2026-08，国内基线包括《个人信息保护法》《数据安全法》、2026-01-01 起施行修改后的《网络安全法》、2025-01-01 起施行的《网络数据安全管理条例》以及 2025-05-01 起施行的《个人信息保护合规审计管理办法》。具体行业、跨境、等保和关基要求需结合业务与专业法律意见，本文不构成法律意见。

5. 日常学习与工作系统

每周节奏

• 2 小时：读标准/源码/事故报告，写 300 字摘要。
• 2 小时：做实验或扩展作品集。
• 1 小时：复盘本周一个设计/故障，形成可复用 checklist。
• 1 小时：与产品、运营、合规或 SRE 对话，理解非代码约束。
• 工作中：主动承担文档、监控、测试和复盘，它们是晋升证据。

学习闭环

读规范 → 画时序/数据流 → 写最小实现 → 攻击它 → 加控制
→ 建指标 → 向别人讲清楚 → 在真实项目复用

三类笔记

• 概念卡：定义、边界、反例、关联协议。
• 决策卡：背景、备选项、取舍、后果、复查日期。
• 事故卡：现象、时间线、根因、控制失效、长期措施。

6. 容易走偏的路线

• 只背协议名，不抓包、不画流程、不验证失败路径。
• 只懂 IdP 产品配置，不懂协议、数据模型和业务风险。
• 只做登录，不懂授权、治理、特权和非人身份。
• 把合规当安全上限；合规通常只是最低基线。
• 为“零信任”买产品，却没有主体、资源、策略和持续信号模型。
• 用大模型直接做自动封禁，却没有离线评估、解释、审批和回滚。
• 追逐证书而没有生产成果。证书可作结构化学习，不应替代作品和影响力。