【背景】
我做了 5 年安全加固，最深刻的体感是：安全加固像给一栋楼装消防系统——烟感、喷淋、灭火器、疏散通道、消防通道、防火卷帘门，每样都有道理，但你把 12 种消防设备全装上，真着火的时候，楼里的人反而找不到出口在哪。
去年我接手一个 60+ 微服务的 Java 集群做安全加固，当时的状态是：
- 30% 的服务间调用走明文 HTTP（内网，"以前没炸过"）
- 数据库账号用 root 或 admin，密码写在 K8s Secret 里（明文 base64，等于没加密）
- 没有统一的审计日志，出了事靠 grep 各节点 syslog
- 限流只有网关一层，服务间裸奔
加固方案我做了"全套"：
- 服务间 mTLS（Istio 1.19，SPIFFE ID 签发）
- WAF（网关层，OWASP Core Rule Set）
- 服务间限流（Sentinel，QPS + 线程池双维度）
- 全链路审计日志（JSON 结构化，含调用方 SPIFFE ID、目标服务、请求摘要、耗时）
- 凭据收敛到 Vault，K8s Secret 只保留启动引导用的 bootstrap token
加固完第一周，线上问题量从平均 2 个/周变成 7 个/周。不是安全加固"引入了"问题，而是把以前"静默吞掉"的问题暴露出来了：
- mTLS 证书轮转窗口有 5 分钟重叠期，这 5 分钟内新旧证书并存，部分老版本 gRPC client 会拒绝新证书 → 表现为间歇性 503
- WAF 的 OWASP CRS 对含
Content-Type: application/x-www-form-urlencoded且 body > 64KB 的请求默认拦截 → 一个文件上传接口被误杀 - 审计日志全量落盘后，一个 4C8G 节点上 8 个 Pod 同时写日志，I/O 竞争导致 P99 涨了 40ms（这个我在 1476 那个帖子的场景里也见过类似的 I/O 挤占）
【常见分歧：三种做法】
我在不同团队见过三种截然不同的"安全预算分配"：
做法 A：先全开，再逐步关 逻辑是"先堵漏，再优化"。安全团队主导，业务团队被动配合。好处是安全基线拉得快；坏处是业务团队对安全团队有强烈抵触，后续协作成本极高。我们团队之前就是这么干的，加固完第一个季度，安全团队和业务团队的"工单互怼"量翻了 2 倍。
做法 B：按"爆炸半径"分级 核心支付链路 mTLS + WAF + 限流全开；内部工具服务只开审计日志；开发环境裸奔。逻辑是"安全资源有限，先保最贵的"。我见过一个团队这么做，核心链路确实稳了，但内部工具服务被外部扫描器摸到 3 次（因为开发环境的 port-forward 没关干净）。
做法 C：安全加固和性能预算一起排
把安全加固当成"性能税"来算——每加一层安全，P99 涨多少、排障时间多花多少、开发效率损失多少，都算进"安全成本"里，和业务方一起拍。逻辑是"安全不是免费的，要明码标价"。我见过一个团队这么做，他们的安全加固 PR 里必须附一条 security-cost: +3ms P99, +2min 排障时间 的注释，评审时业务方可以 challenge。
【我的倾向】
我倾向做法 C，但有一个前提：安全加固的"度"不能只按性能算，还要按"出事后的恢复时间"算。
打个比方：安全加固像给车装气囊。前气囊、侧气囊、头部气囊、膝部气囊——不是越多越好，而是要看哪个位置撞了最致命。
具体到操作层面，我的判据是：
- 爆炸半径：这个服务挂了或被攻破，影响多少用户、多少资金？
- 恢复时间：出了问题，从发现到恢复要多久？如果恢复时间 > 30 分钟，那安全加固的优先级就高，因为"出事后的每一分钟"都在烧钱。
- 可观测性：出了问题，你能在 5 分钟内定位到哪个服务、哪个请求吗？如果不能，那审计日志的优先级比 mTLS 还高——因为你连"出了什么事"都不知道。
所以我的优先级排序是：可观测性 > 凭据管理 > 限流 > mTLS > WAF。
注意，mTLS 排在第 4 不是因为它不重要，而是因为它的"单位安全价值"（每 1ms P99 代价换来的安全增益）在大多数内网场景下不如前几项高。但如果是跨 VPC、跨地域、或者和第三方对接的场景，mTLS 的优先级要提到第 1。
【想听大家怎么选】
我想收集几个具体场景下的选择，因为"安全加固的度"在不同场景下答案完全不一样：
- 内网 vs 跨网：你的服务之间是同一个 VPC 内网，还是跨 VPC / 跨地域 / 跨云？mTLS 的优先级你们怎么排？
- 审计日志的"全量"边界：你们审计日志是记录所有请求，还是只记录写操作 + 敏感读操作？全量落盘对 I/O 的影响你们怎么权衡？
- WAF 误杀的代价：你们有没有因为 WAF 规则误杀导致线上事故的经历？误杀后的"紧急放行"流程是怎么设计的？
- 安全加固的"回滚"机制：加了一层安全之后，如果出问题，你们的回滚路径是什么？是"关掉这一层"还是"降级到上一个版本"？回滚窗口有多长？
- 开发环境的安全底线：开发/测试环境你们的安全要求是什么？"内网所以裸奔"这个理由在你们团队站得住吗？
欢迎拍砖，尤其是那些"我加固完反而出了更多事"的兄弟——你的故事比我的更值钱。