秘密、敏感字段、审计与供应链：安全治理怎样形成闭环
贯通秘密库存与轮换、数据最小化、日志脱敏、审计防篡改、依赖来源、构建证明和漏洞响应。
OWASP Secrets Management 给出集中存储、最小权限、轮换与审计原则；NIST SSDF 1.1 要求保护构件、记录来源并持续响应漏洞。
秘密的风险由爆炸半径与驻留时间决定
数据库口令、API key、私钥、证书和 webhook secret 都进入库存：owner、用途、环境、权限、消费者、签发方式、过期、轮换和撤销。一个跨环境共享且永久有效的管理员 secret，即使保存在“安全变量”中也有巨大风险。优先短期身份、工作负载凭证和最小权限。
应用通过受控文件、代理或身份交换获取秘密，启动参数、镜像层、源码、构建日志和异常不得出现值。环境变量也可能被诊断接口和子进程读取，不能天然视为密库。缓存秘密时限制生命周期并避免字符串副本无限驻留。
轮换是双版本协议
先让消费者接受旧新两版，再签发新值并切写，观察旧版使用归零，最后撤销旧版。数据库凭证、签名密钥和加密数据密钥的轮换顺序不同，但都需要兼容窗口、使用指标和回滚。泄露响应不能等待例行轮换，要能定位消费者、立即降权和重放审计。
敏感数据遵循收集最小化、用途限制、字段级访问、保留与删除。日志记录主体、动作、对象类型、结果、策略版本和关联 id，不记录密码、完整 token、密钥或无必要的个人字段。审计写入失败时，高风险管理动作应拒绝或进入可补录的安全队列。
供应链门禁验证来源而不只扫描漏洞
依赖锁定版本和校验摘要，仓库与构建身份最小权限；构件保存 digest、签名、builder、源码提交和 SBOM。发布环境验证这些证明，不能让任意 CI 任务向生产仓库写同名标签。漏洞扫描是时间点信息，仍需持续接收公告、定位受影响构件、评估可达性并重建发布。
依赖升级同时验证兼容与安全，紧急修复保留可回滚构件但不能恢复已撤销秘密。演练从泄露一个测试凭证或发现一个受影响依赖开始，计时完成发现、隔离、轮换、重建、部署、对账和证据归档。
秘密使用点要能被逐一撤销
库存不能只列密库条目，还要反向索引部署、作业、开发环境、第三方和应急账号。每个消费者用独立身份获取最小秘密，避免轮换一个共享值导致全系统同时重启。应用暴露 secret version 指标而不暴露值，轮换时可确认旧版本使用是否归零。
信封加密把数据密钥与主密钥分开，轮换主密钥可重包数据密钥而不重加密全部数据；真正泄露数据密钥时仍需重加密受影响数据。删除密钥等于永久删除数据，必须区分撤销读取、轮换写入和加密销毁，并保留合规授权与恢复边界。
审计和构建证明都要防止同源伪造
应用既执行业务又能任意改审计表时，入侵者可删除证据。审计采用追加写、独立权限、完整性链或外部汇聚，并监控序列缺口与时钟异常。读取审计本身是敏感操作，需要对象范围、审批和二次审计。
可复现或受控构建把源码提交、依赖锁、builder 身份、步骤与 artifact digest 关联；部署只接受受信 builder 的签名证明。SBOM 解决“包含什么”，不证明构建未被篡改；签名证明来源，不证明没有漏洞。两者加持续漏洞响应、隔离仓库和重建能力才形成闭环。
配置、备份和调试通道都是秘密副本
秘密从密库注入后可能进入配置快照、堆转储、崩溃报告、APM 标签、备份和开发者剪贴板。库存应覆盖这些派生位置，并为诊断采集设置字段删除与访问审批。轮换主值不会自动删除历史备份中的旧值；旧凭证必须失效，备份访问也要独立收紧。
应用不得在“连接失败”日志中打印完整连接串。数据库用户名可能也暴露内部结构，token 指纹只保留不可逆短摘要用于关联。Secret scanner 发现历史提交后，第一动作是撤销和评估使用记录，而不是只从 Git 当前版本删除；Git 历史清理是后续降低暴露，不会让已复制秘密失效。
依赖解析器本身属于供应链控制面
允许的 registry、namespace、包管理器配置和代理必须入库；私有包名在公共仓库被抢注会产生 dependency confusion。内部包使用保留命名空间和显式源优先级，构建在无网络或受控代理环境解析锁文件，校验摘要与签名。浮动版本和未固定基础镜像标签会让同一提交产生不同构件。
构建服务的身份只允许写指定仓库路径，发布审批与构建执行分离。签名私钥最好由短期工作负载身份调用签名服务，不能作为长期 CI 变量复制给所有分支。来自 fork 或未信任 PR 的作业不得获得生产 secret 或发布权限。
漏洞响应验证“受影响版本是否存在、代码路径是否可达、是否暴露、是否已有缓解”，但不能用不可达性判断永久搁置升级。记录临时缓解、重建 digest、部署范围和最终移除，确保下一次基础镜像或依赖刷新不会重新引入漏洞。
一次轮换演练要穿过全部消费者
为测试数据库账号签发 v9，读取端先接受 v8/v9，逐个部署切写 v9，通过服务、定时任务、迁移工具和应急脚本的 secret version 指标确认旧使用归零，再撤销 v8。随后故意回滚一个仍依赖 v8 的实例，验证它明确启动失败并告警，而不是从配置文件恢复旧明文。
供应链演练从锁文件中一个受影响依赖开始：SBOM 查询受影响构件，结合调用路径确定临时风险，更新依赖并在受信 builder 重建，生成新 provenance 与 digest，部署门禁验证签名，灰度后撤销旧构件推广。每一步保存证据，才能在审计中证明“哪些实例已经不再受影响”。
密库、审计汇聚和构件仓库也会故障。应用对已有短期凭证可在明确租约内继续，新增实例拿不到凭证时不应使用镜像内备份 secret；审计暂不可写时，高风险管理动作进入拒绝或防篡改缓冲；仓库不可达时只能部署已验证缓存构件，禁止临时从公共源拉同名包。恢复后还要核对故障窗口内的凭证租约、缓冲审计序号与实际部署 digest。
安全状态机必须让失败停在安全位置
一次安全决策沿“解析—认证—授权—执行—审计”推进。任何阶段超时或证据不足都不能伪装成允许；同时要区分未认证、无权限、输入拒绝、依赖不可用和结果未知，避免客户端盲目重试。
反向验证要证明旁路也被关闭
测试不止提交非法字符串，还要更换租户、对象、HTTP 方法、内容类型、转发头、异步线程、重定向目标和旧版本凭证；在认证服务、审计存储、DNS、密钥源和策略缓存超时时观察默认行为。拒绝必须无业务副作用，错误响应不泄露资源存在性或内部实现。
容量同样属于安全边界。密码派生、签名验证、文件扫描、令牌内省和审计写入都可能被放大；为主体、租户、IP、操作和下游分别设置预算，并记录拒绝原因。限流不能只按可伪造 Header，也不能让攻击流量占满合法用户恢复通道。
生产证据与治理
上线门禁要求：威胁场景有 owner；允许和拒绝路径都有测试；默认拒绝与应急旁路已演练；秘密可轮换；审计可查询且防越权；依赖与构件来源可证明；旧版本兼容窗口和撤销路径明确。安全控制只有在故障、升级和应急状态仍成立时才算完成。
用两个 Java 17 模型固定安全不变量
模型不尝试实现密码算法或攻击载荷，只把控制输入、判定顺序和确定输出固化，真实系统再替换为框架、密钥服务与持久化策略。
javac --release 17 -Xlint:all -Werror examples/backend-development/security/secrets-audit-supply-chain/SecretRotationDemo.java examples/backend-development/security/secrets-audit-supply-chain/ProvenanceGateDemo.java
java -cp examples/backend-development/security/secrets-audit-supply-chain SecretRotationDemo
java -cp examples/backend-development/security/secrets-audit-supply-chain ProvenanceGateDemosecret=db-reader activeVersions=[v8, v9] writer=v9 readerAcceptsV8=true rollbackReady=true
artifact=service.jar digestMatch=true signed=true builderTrusted=true sbomPresent=true releaseAllowed=true输出变化必须对应一条明确策略或迁移决定；禁止为了让测试通过而放宽 issuer、audience、tenant、路径、算法或来源校验。
把控制成本写进容量与事故恢复
“每个秘密和构件必须知道来源、使用者、权限、期限、轮换与撤销路径”不是免费承诺。认证与密码派生消耗 CPU，远程策略和 Session 占用连接，签名与哈希增加计算，扫描和隔离消耗磁盘与队列，审计增加写放大。容量模型按峰值合法流量叠加恶意放大：每请求验证次数、下游往返、最大输入、并发隔离任务、失败重试、日志体积和安全状态保留期。平均延迟正常而拒绝队列持续增长，仍然意味着控制即将失效。
事故恢复按“阻止继续扩大—保存证据—撤销资格—修复权威状态—重建派生状态—验证不变量”推进。只修代码却不撤销 token、secret 或错误策略缓存，攻击窗口仍然存在；只轮换凭证却不检查已发生业务写，也无法证明资产恢复。对 SecretRotationDemo 与 ProvenanceGateDemo 对应的决策输出建立线上指标或审计查询，才能把模型与生产证据连接起来。
升级时先部署严格兼容的读取端，再切换签发者或写入端，观察旧版本使用归零后删除兼容分支。任何临时兼容都记录 owner、截止、拒绝指标和回滚条件；为了兼容而跳过验证不属于迁移策略，而是新增旁路。