---
schemaVersion: 1
scope: "public-indexable-html"
renderScope: "server-rendered-main"
canonical: "https://isafwan.com/zh-CN/ideas/security-is-a-design-decision/"
companion: "https://isafwan.com/agent/zh-CN/ideas/security-is-a-design-decision/index.md"
locale: "zh-CN"
language: "zh-CN"
direction: "ltr"
title: "安全是一种设计决定 | Safwan AlModhayan"
description: "安全不只关乎阻挡访问，也关乎权力如何分配、摩擦放在哪里，以及系统出错后能否被解释和修复。"
---

## Language versions
- [ar-SA](https://isafwan.com/ar/ideas/security-is-a-design-decision/)
- [en](https://isafwan.com/en/ideas/security-is-a-design-decision/)
- [ru](https://isafwan.com/ru/ideas/security-is-a-design-decision/)
- [x-default](https://isafwan.com/ar/ideas/security-is-a-design-decision/)
- [zh-CN](https://isafwan.com/zh-CN/ideas/security-is-a-design-decision/)

[Safwan AlModhayan](https://isafwan.com/zh-CN/)[观点](https://isafwan.com/zh-CN/ideas/)

已发表

# 安全是一种设计决定

安全不只关乎阻挡访问，也关乎权力如何分配、摩擦放在哪里，以及系统出错后能否被解释和修复。

安全经常在项目接近完成时才被提起：增加一道验证、限制一个端口、补上一份规则。这样的措施可能必要，却不足以回答更早的问题——谁可以做什么，谁能够看见什么，哪些行动必须被复核，错误发生后谁有能力停止扩散。安全若只被理解为技术附件，真正决定风险的产品结构与组织习惯就会躲在附件之外。

安全并不是最后加上的门锁，而是从一开始分配权力的方式。一个默认公开的空间、一个权限过宽的角色、一条无法撤销的操作路径，都在表达谁被信任、谁承担后果。设计安全因此不是追求抽象的“最严”，而是让能力与职责相称，让高影响行动需要更清楚的意图、证据和复核。

设想一家完全假想的机构正在更新内部资料系统。为了方便协作，最初方案让所有成员都能查看、下载和批量修改全部记录。团队随后发现，不同工作只需要不同范围的能力：有人需要读取少量字段，有人需要提出修改，只有少数角色需要批准公开或删除。于是系统把浏览、编辑、批准与破坏性操作拆开，并为临时任务设置到期权限。

这个变化会增加步骤，却不意味着步骤越多越安全。摩擦应当与可能造成的伤害相称。每天都要完成的低风险工作若被无差别阻塞，人们会寻找绕行方式；一次误操作就可能泄露或删除大量内容的动作，则值得更强的确认、双人复核或等待期。摩擦的目的不是惩罚使用者，而是在关键节点创造看见后果的时间。

信任也不能简化为“内部人可靠，外部人危险”。账户可能被误用，权限可能在岗位变化后滞留，自动化任务也可能带着过大的访问范围运行。更稳健的设计关注当前需要，而不是永久身份：默认给予完成任务所需的最小能力，敏感授权有明确期限，角色变化能够及时生效，系统记录足以支持调查却不过度收集无关信息。

可信任的系统不只会阻止错误，也会为错误发生后的修复留下道路。备份是否真的可以恢复，撤销是否覆盖关键操作，受影响的人如何被通知，谁能在事件中作出临时决定，这些都属于安全设计。只谈防御会制造一种脆弱的确定感；承认失误和攻击仍可能发生，反而能迫使团队准备隔离、恢复、沟通与问责。

问责并不等于寻找一个人承担所有责备。它首先要求行动可解释：规则由谁设定，警报由谁接收，例外由谁批准，长期未处理的风险为何被接受。如果记录只用于追踪基层操作，却看不见权限设计和管理决定，所谓审计就会产生偏差。安全责任应沿着决策链向上延伸，而不是只在事故后向下寻找名字。

安全措施同样有边界。过度收集日志可能侵犯隐私，过强控制可能排除有合理需求的人，复杂流程也可能在紧急时刻失效。没有一种设置能永久适合所有情境。因此，每项控制都应说明它要降低的具体伤害、带来的使用成本、可能制造的新风险，以及何时重新审查。控制本身也需要被当作假设，而不是永恒答案。

一个团队可以用简单的路径图开始：列出最重要的资产与行动，标记谁能触发它们，估计误用后的影响，再为高影响节点安排确认、隔离和恢复方式。接着邀请实际使用流程的人指出哪里会被绕过，邀请承担后果的人说明哪些伤害此前没有被看见。这样的讨论把安全从检查清单带回共同设计。

下一次准备增加安全措施时，不妨先问：这项设计把什么权力交给了谁，制造的摩擦是否与伤害相称，而当保护仍然失败时，我们是否真的知道怎样停止、解释并修复？

[隐私](https://isafwan.com/zh-CN/privacy/)

## 来源

网站新编文本，并非历史引语或个人回忆录

[来源 ↗](https://isafwan.com/zh-CN/colophon/)

已发表

## 主题

[网络安全](https://isafwan.com/zh-CN/topics/#cybersecurity)[权力](https://isafwan.com/zh-CN/topics/#power)

[阅读清单 ↗](https://isafwan.com/zh-CN/archive/)

## 相关内容

[观点 / 已发表先把问题写清楚，再谈人工智能采用人工智能之前，真正需要被设计的往往不是提示词，而是问题、决定与责任之间的边界。](https://isafwan.com/zh-CN/ideas/better-questions-before-ai/)[观点 / 已发表数据提供视野，但不会替你作决定指标能帮助人看见变化，也会把注意力锁定在可记录的部分；判断必须处理那些尚未进入表格的现实。](https://isafwan.com/zh-CN/ideas/data-does-not-decide/)

[返回](https://isafwan.com/zh-CN/ideas/)