安全架构学习路线

这条路线按「信任从哪里来 → 身份怎么被委托 → 请求怎么被校验」排列。先懂传输层和密码学边界，再谈 OAuth2/OIDC，最后落到应用漏洞与零信任的落地动作。 协议版本、算法参数与命令以各篇标注的版本为准；默认值以官方文档为准。

篇目

篇目	回答的问题	核心内容
01-HTTPS与密码学基础	数据在链路上怎么保密、防篡改、防冒充	对称/非对称/哈希的边界、TLS 1.2 与 1.3 握手差异、证书链校验、国密落地
02-OAuth2与认证鉴权	第三方凭什么访问用户数据，令牌怎么发、怎么验、怎么撤	授权码 + PKCE、OIDC 身份层、令牌生命周期、JWKS 校验、谁在何时校验什么
03-Web安全与零信任	应用层最常见的六类漏洞怎么复现、怎么修；零信任怎么落地	注入、越权、SSRF、XSS、CSRF、供应链；身份、设备、最小权限、持续校验
99-生产检查清单	上线、运行、故障时各要检查什么	可勾选的执行清单，不重复正文原理

阅读顺序

01 HTTPS 与密码学基础
  └─ 信任基础：密钥交换、证书链、算法边界
       ↓
02 OAuth2 与认证鉴权
  └─ 身份与授权：授权码 + PKCE、OIDC、令牌生命周期
       ↓
03 Web 安全与零信任
  └─ 应用与架构：六类漏洞的最小复现与修复、零信任四个动作
       ↓
99 生产检查清单
  └─ 执行：上线前 / 运行中 / 故障时的判断依据

怎么用

• 问「HTTPS 为什么既用非对称又用对称」→ 01 的三类原语边界与混合加密。
• 问「TLS 1.3 到底省了哪次往返」→ 01 的握手对比与 0-RTT 重放风险。
• 问「证书链为什么会缺 Intermediate」→ 01 的证书链校验与 openssl s_client 排障。
• 问「OAuth2 能不能当登录用」→ 02 的授权与认证分层、OIDC 补的是哪一层。
• 问「授权码为什么必须配 PKCE」→ 02 的公共客户端威胁模型。
• 问「JWT 怎么撤销」→ 02 的短生命周期、refresh token 轮换与撤销接口。
• 问「SSRF 为什么黑名单拦不住」→ 03 的 DNS rebinding、重定向与 IP 变体。
• 问「零信任除了口号还能做什么」→ 03 的四个可落地动作与 NetworkPolicy 示例。

读完每篇的检查点

篇目	应能回答
01	为什么 TLS 要混合加密？TLS 1.3 省了哪次往返？证书链缺 Intermediate 怎么查？
02	OAuth2 与 OIDC 各回答什么问题？PKCE 防什么？JWT 的 iss/aud/exp 分别防什么？
03	六类漏洞的根因和最小修复是什么？SSRF 为什么黑名单不够？零信任四个动作怎么验收？

与其他卷的衔接

• 认证鉴权的另一视角：13/05-认证鉴权。
• 零信任在网络层的落地：17/04-K8S配置解剖图 中的 NetworkPolicy。
• 安全指标与告警：08/02-Prometheus抓取存储与告警。

前置知识

• 了解 HTTP 请求/响应、Cookie 与同源策略。
• 了解公钥/私钥的基本用途即可，密码学细节在 01 补齐。
• 03 的隔离示例需要 Kubernetes 1.25+ 与支持 NetworkPolicy 的 CNI（Calico/Cilium）；命令与字段以官方文档为准。