创业前端架构：合规、可信、安全三位一体

　　告警响的那一刻，我正把泡面叉子插进酱包里——没撕口，直接戳，汤汁溅到键盘F键上。三台机器的SSL证书过期告警叠在同一个PagerDuty页面里，声音是那种旧式电话机拨号音的变调，尖，短，重复三次就自动静音，像有人掐着嗓子喊完就跑了。我伸手去够耳机，发现左边耳塞早掉进抽屉缝了，右边还连着，但音量被我前天调成“会议免打扰”模式。所以听见的其实是同事老陈在隔壁工位骂：“这破CDN缓存头谁配的？Cache-Control: no-cache？no-cache你缓个屁啊！”

　　我原以为是开发又改了nginx配置漏推，结果ssh进去看certbot日志，发现自动续签早挂了两周——不是失败，是压根没跑。cron里那行任务被人注释掉了，注释写着“临时关闭，等合规审计完再开”。我盯着那行字看了十秒，手悬在键盘上没敲回车。窗外天快亮了，灰蓝底子上飘着两片云，像没洗完的抹布。去年九月，我们刚把整套前端静态资源切到新架构，三套域名、四层路由、五种证书类型，合规那边要“可追溯的全链路签发记录”，可信那边要求“终端用户能手动校验签名”，安全那边甩来一份PDF，第37页写着“禁止任何形式的明文密钥分发”。三句话加起来，等于让前端自己造个CA，还带审计报告。

　　其实根本不是技术问题。是人的问题。是开会时没人敢说“这玩意儿前端根本兜不住”。开发小张上周提PR，想把证书密钥从CI环境剥离，改用Vault动态注入，我当场否了——不是觉得不行，是怕运维组担责。我说：“你先找法务确认Vault的审计日志是否满足等保三级要求。”结果他真去找了。法务回邮件说：“等保不规定工具，只规定行为。”——这话听着耳熟吧？当年我们删K8s集群前还要填纸质《资产注销审批单》，机房的人蹲在冷库里签字，呵气在钢化玻璃上结霜，我隔着门看他手指冻得发红还在划拉签名栏。后来单子找不到了，补签时那人说：“哎呀记不清了，反正你们早删了。”

　　可那天晚上，最让我火大的不是证书过期。是回滚脚本跑了一半，发现S3里那个叫“prod-front-static-backup-20230915”的桶早就被清理策略删了。清理策略是合规组半年前强制推的，“静态资源备份超过七天即视为冗余数据”，没人告诉我这个桶也算“静态资源”。我翻Git历史，在merge commit里看到一行注释：“已按GDPR要求删除过期备份”。GDPR？我们业务根本不出海。我抓起手机想打合规老李，手指停在拨号界面——他老婆昨天剖腹产，值班表上写他请假到下周二。我放下手机，转头看见屏幕上还开着三个窗口：一个是Jenkins构建页（正在轮询中），一个是微信对话框（开发问“前端SDK能不能接飞书审批流”），还有一个是Chrome收藏夹，夹着十年前的IE6兼容性方案链接。

文章配图，仅供参考

　　反常识结论是：三位一体越完整，崩得越安静。没有500错误，没有白屏，只有用户悄悄换APP、悄悄关通知、悄悄不再点那个蓝色“立即体验”按钮。我们搞了六个月的签名验证流程，最后发现最常触发告警的是某个老版本iOS WebView，它不支持WebCrypto API，但检测脚本本身会报错——而这个错误日志，恰好被日志采集器误判为“前端异常率突增”，凌晨两点把我钉在钉钉群。我截图发过去，开发回：“哦，那个啊，早修了，PR合并时忘了关监控。”

　　家里冰箱里还有半盒酸奶，标签上写着“最佳赏味期：2024年4月2日”。我昨天打开喝了，酸得皱眉，但没拉肚子。这东西跟我们前端架构一样，过了期，不一定立刻坏，可你再也不敢推荐给别人喝。老陈刚才下楼买烟，路过我工位时说：“听说下周要切国产WAF？”我没吭声。其实我已经把WAF规则模板藏在本地Git repo里了，commit message写的是“备胎v1.3”。不是防攻击，是防下次再有人半夜三点打电话说：“领导说合规组要现场检查，你把所有JS文件哈希值列个Excel发我。”

　　这事本来能避免。要是九月上线前，我没信开发说的“先跑通再补审计”，要是我没把密钥生成脚本藏在CI job里而没做任何人工复核，要是我当初真去机房，亲手把那台老服务器的硬盘拆下来，拍一张照片发到群里说：“看，这是咱们第一个前端静态源，它不连外网，它不用HTTPS，它只有一个IP，它活到了今天。”——可我没拍。泡面汤凉透了，我把它倒进水槽，听见“咕咚”一声。水槽滤网底下卡着几粒脱水蔬菜，绿的，已经发灰。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!