三步搞定数据权限：权责分离·闭环·留痕

文章配图，仅供参考

　　我原以为又是WAF漏规则，结果翻到凌晨两点，发现ACL那行日志是手动生成的：时间戳用的是服务器本地时区，但logrotate刚切过，文件mtime比写入时间早十七分钟。这个我敢打包票，我连着盯了它十八秒——不对劲。

　　三步搞定数据权限：权责分离·闭环·留痕。就这么个标题，我贴在会议室白板上，底下坐的七个人，三个点头，两个低头刷手机，还有俩在抠桌角那层快掉的防火漆。张工把笔帽咬出牙印，说“留痕？我们留的痕都得手动清，怕审计系统扫出重复trace_id”。他说话时左手一直在转那支红笔，转了三十七圈，我没数，但红笔杆子底端磨出了个油亮的凹坑。

　　权责分离不是把DBA和开发拉进同一个审批流就叫分开了。上周五我看到测试库账号权限树里挂着prod_config表的SELECT，备注写着“临时查配置”，申请单是前端小李提的，审批人是他自己建的飞书机器人。这种事你说它算违规？不算。它连WAF规则都不触发——根本没走网关，直连的。所以后来溯源的时候，我们在mysql slow log里找到那个查询，但在k8s audit日志里没找到pod exec记录，再往下翻，发现kube-apiserver那台机子上多了个/usr/local/bin/ksctl.bak，md5跟线上部署包对不上。我查了一眼创建时间：2025年10月7号下午四点零二分。就是老周发群消息那天。

　　闭环？闭环是拿铁链子锁住的环。不是你画个UML流程图、在Jira里把“审批→执行→反馈”打上绿色勾就闭环了。真正的闭环是你看见某条SQL被拦截了，然后五秒内弹出告警页面，弹窗里显示阻断原因、关联的IAM policy hash、以及上次修改该policy的人的飞书头像。我们没有。我们有的是第二天上午九点十七分，业务方打电话来问“为啥接口挂了”，我翻了半天日志才找到waf拦截日志里那串带参数编码的URI，里面嵌着base64解出来的“SELECT FROM user_profile WHERE id=1”。这不叫闭环，这叫延时抛尸。

　　留痕这事更玄。我们存操作日志，也存数据库binlog，但没人管中间那段——那个API调用落地成SQL之间，到底有没有加tenant_id过滤？那个tenant_id是从header里来的，还是从token claim里捞的，还是干脆硬编码写的‘default’？没人记。所以前天晨会上我甩出那段Go代码：ctx.Value("auth_ctx").(Auth).TenantId，底下有人笑，说“哎哟你还真看value啊”。我看的是value，但我没看出那个struct里藏着一个未导出字段 tenantCache sync.Map——它缓存的是上游网关传过来的tenant，而网关那次漏传，缓存了三百七十二毫秒。就这三百七十二毫秒，足够让两个不同租户的用户互相看到对方头像了。我说不准这是不是P0，但我知道，那天的审计报告里没提这事儿。

　　昨天我在IDC-A区机柜B排第12U抽风，风扇啸叫跟旧笔记本似的，拆开一看主板散热硅脂全干了，露出底下灰白色的裂纹。旁边机柜标签纸卷了边，印着“2023 Q4 漏洞整改（高危）”，落款是我签的字。那会儿还在推统一鉴权网关，现在网关还在，但后端服务一半走了旁路。小林昨天交了辞职信，临走前在我茶杯底下压了张纸条：“权限不是逻辑问题，是信任坍缩。”纸条右下角画了个歪扭的原子结构图，电子轨道少画了一条。

　　所以我说三步搞定，不是说它多完美。是它便宜——你不用买新设备，不用重写核心模块，只改三处：权限判定从handler里抽出来，独立成service；所有判定动作必须经过审计中间件；每次判定失败，自动落一条debug级event到专门的审计ES索引，字段里带stacktrace前八帧。成本？不到三个人日。换来的不是0day免疫，是下次出事时，你能从日志里一眼揪出到底是网关漏了header，还是下游服务自己伪造了tenant，或者压根没校验。至于那个多出来的/usr/local/bin/ksctl.bak？我还没删。就放在那儿。等下周安全组做baseline比对时，看看他们报不报警。

　　对了，刚才群里又@全员，是新人小杨发的截图：Kibana里搜authz_log，有条记录的source_ip显示127.0.0.1，但host_name写的是“gateway-prod-2”——这玩意儿不可能跑localhost。我回了个“查proxy_set_header X-Real-IP”，然后顺手把浏览器收藏夹里“Nginx real-ip config”那条删了。反正它已经失效了三次。

　　现在我要去把redis主节点的ACL配置补上，顺手看看那台机子上的cron里有没有sleep 300 && curl的残余任务。老周说他昨晚在流量镜像里抓到两段TLS handshake里的SNI是admin-api.xxxxx.com，但没对应域名解析记录。这事我不碰，交给蓝队。我只管我的三步。其他的，爱谁谁。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!