权限管理

零信任架构落地教程：用 oauth2-proxy 与 Nginx auth_request 搭建身份感知代理，统一认证后再放行管理后台，覆盖协议头透传防重定向循环、身份头覆盖防伪造、回环监听兜底，附四条验证命令。

多云 IAM 权限收敛实战教程：导出授权明细与凭证报告盘点现状，用 Access Analyzer 按访问活动生成最小权限，配合 permissions boundary 与 SCP 双层收窄，附策略模拟与密钥清理验证命令。

特权操作无留痕是内控与等保的硬伤。本文用 sudo I/O 日志 + tlog 会话录制 + auditd 内核审计三层组合，实现特权账号操作可追溯、可回放、可验证。

越权访问（IDOR）只需要把请求里的资源 ID 换成别人的值即可读取他人数据。本文用两个账号 curl 复现水平越权与垂直越权，给出服务层对象级鉴权改造（归属条件写入 WHERE）、UUID 对外标识改造、Spring Security 注解与 MyBatis 语句示例、网关兜底拦截与 CI 回归