失效方式不同的层
Web 应用可能在边缘校验输入，在服务内再次校验，使用参数化查询、最小权限数据库凭证，记录异常查询并告警。每一层都可能失效或被绕过，但不会以相同方式同时失效。目标不是重复同一个检查，而是让一次失误不足以造成入侵。
Identity: SSO + MFA + short-lived tokens
Network: segmentation + mTLS
Application: authorization + input validation + output encoding
Data: encryption + least-privilege DB roles + backups
Operations: audit logs + alerts + incident response预防、检测、响应
预防性控制阻止已知攻击；检测性控制揭示失败和正在进行的攻击；响应性控制限制损害并恢复服务。只有预防的系统无法知道预防何时失效，只有检测的系统发现得太晚。三者都要设计并测试。
避免控制表演
加一个 WAF、一个扫描器和一份策略文档，并不自动构成纵深——如果它们没有被调优、监控，也不相互独立。要衡量每个控制是否真的阻止了它声称能阻止的攻击，告警是否到达能行动的人。删除只增加成本、不降低真实风险的控制。
何时使用
当系统持有有价值数据、承担合规义务或攻击面较大时，使用纵深防御。优点是能抵御单个控制失效；代价是复杂度和运维成本。与单一边界控制相比，分层控制更难绕过，但需要威胁模型来选择合适的层。