网络位置不是凭证
传统边界假设网络内部的一切都可信。攻击者一旦获得立足点，横向移动很容易，因为内部服务接受未认证调用。零信任移除这一假设。每次调用都携带身份，每个服务都检查该身份是否可执行该操作。
client -> identity token -> policy decision -> service
service A -> workload identity -> policy decision -> service B
admin -> SSO + MFA + device posture -> short-lived credential -> target图示是概念性的。实现可以使用 mTLS、OIDC、云 IAM 或服务网格，但不变量相同：身份和策略位于每个边界，而不只在边缘。
持续验证
登录时认证一次不够。令牌会过期、设备状态会变化、权限会被吊销。使用短时凭证，对每个敏感请求检查授权并记录决策。被盗令牌应有有限寿命和吊销路径。管理访问应要求更强认证和即时提权。
分段与观测
零信任通过分段和最小权限减少横向移动。网络策略、服务身份和应用级授权协同工作。允许和拒绝都要记录；拒绝激增可能意味着策略配置错误或攻击者在探测。定期复核访问并移除未使用路径。
何时使用
当网络边界薄弱，或内部横向移动后果严重时，使用零信任。优点是显式、可审计的访问控制；代价是运维复杂度，以及需要在每个服务上部署身份、策略和日志。与仅依赖 VPN 的模型相比，零信任更细粒度，但需要应用和平台改造。