创业公司后端架构生死线：政策、数据、安全三足鼎立

　　去年二月份那会儿，我原以为后端架构崩了最多就是系统卡顿，结果直接被政策罚了三十万——那会儿我们刚拿到A轮，正打算冲类目前十，结果因为用户数据存储没按等保2.0来，被网信办抽查时当场扣分。那天我在测试环境压测，鼠标垫卷边了，手一滑把并发数从500调成5000，监控大屏突然全红，饮水机在旁边咕嘟咕嘟响，运维小哥冲进来时差点把键盘踹飞。

　　可真正要命的不是这次宕机，是三天后收到整改通知时，老板在会议室拍桌子说“你们测试组怎么没测出来合规风险”。我盯着他电脑屏幕上打开的《网络安全法》第59条，心想这他妈是功能测试能覆盖的吗？数据跨境传输要备案、日志留存要6个月、密码强度得强制更新——这些玩意儿在需求文档里就写了三行，开发说“先跑通再说”，产品说“用户嫌麻烦”，最后全成了测试的锅。

　　后来复盘才发现，我们连最基本的“最小必要原则”都没落实。用户注册时要填身份证号，结果这数据既没加密也没脱敏，直接存进了MySQL主库。更离谱的是，有个内部管理后台的接口居然没鉴权，测试环境的数据能被任意IP访问——我原以为开发会做权限控制，结果他们说“反正测试环境没真实数据”，结果被爬虫抓走了五千条测试账号，其中三百个是拿真实手机号注册的。

　　安全这事儿最反常识的是，它跟业务增长是反着来的。我们为了冲DAU，把用户地理位置、设备型号、App使用时长全往ES里塞，结果存储成本翻了三倍不说，还被监管盯上。更搞笑的是，为了提升转化率，产品让把用户浏览记录存进Redis，设置成永久有效——我提过“这违反GDPR”，结果被怼“我们又不做欧洲市场”。结果两个月后，有个用户投诉说“卸载App后还能收到推荐短信”，一查发现是Redis里的数据没清理干净，直接被运营拿去用了。

　　仓库卷帘门哐当响的时候，我正跟安全团队对审计报告。他们说“日志要存到独立服务器”，开发说“主库性能不够”，产品说“用户操作路径不能断”——最后妥协的方案是，把敏感操作的日志存到OSS，非敏感的存本地。结果三个月后，服务器被拖库，黑客只偷了本地日志里的用户ID和IP，却因为OSS的日志没关联，没拿到完整攻击链。安全总监气得在群里发语音：“你们这叫什么日志分离？这叫给黑客留作业！”

　　说到政策，有个细节特别讽刺。我们为了过等保，花了二十万买了套日志审计系统，结果安装完发现，这系统自己就有高危漏洞——CVE-2021-XXXX，被公开利用半年了。供应商说“你们赶紧打补丁”，我们说“你们卖的时候怎么不提”，供应商说“合同里写了‘不保证无漏洞’”。最后没办法，只能让运维每天手动巡检，结果有天运维请假，系统被黑了都没人知道。

　　数据和安全这两座大山，压得创业公司根本没精力搞创新。我们有个AI推荐功能，本来能提升30%的转化率，结果因为要过算法备案，光准备材料就花了两个月。更坑的是，备案要求“解释模型原理”，我们用的是开源框架，开发说“我们也没看懂源码”，最后只能找第三方机构出报告，又花了五万。等备案下来，竞品已经抄走了我们的功能，还做了优化——老板在周会上说“这五万花得值”，我盯着他手里的竞品App，心想这钱要是用来买测试设备，至少能多压测两轮。

　　但最让我后怕的，是去年双十一前夜的崩溃。那天我们为了应对流量峰值，把数据库连接池从100扩到500，结果测试环境没事，生产环境一上线就报“Too many connections”。运维小哥蹲在机房地上修了四个小时，我在旁边点外卖，外卖小哥问“你们这儿是不是着火了”，我说“比着火还惨”。后来查出来是连接池配置没同步到从库，主库被撑爆时，从库还在用旧配置——这他妈是配置管理的问题，可最后背锅的又是测试，因为“没测全场景”。

文章配图，仅供参考

　　不过话说回来，这些事儿也不能全怪团队。创业公司要活下去，必须得在合规和效率之间找平衡。我们后来学乖了，把安全测试纳入CI/CD流程，每次代码合并前自动跑漏洞扫描；数据存储按敏感等级分级，非必要的坚决不存；政策更新就找律师解读，解读完再改需求——虽然慢了点，但至少不用再被罚款了。只是有时候夜深人静，看着测试环境里跑着的自动化脚本，我会想，如果当初多花点时间在合规上，是不是就不用交那三十万的学费了？

　　但现实是，创业公司没那么多时间。你等不起等保备案的三个月，等不起算法备案的两个月，等不起数据脱敏的额外开发——所以最后只能赌，赌监管不会抽查到自己，赌黑客不会盯上自己，赌用户不会投诉自己。可这赌局里，输的永远是创业公司，赢的永远是政策、数据和安全——它们才是真正的“铁三角”，而我们，不过是在这三角里挣扎的蝼蚁罢了。

　　现在老板让我牵头搞“安全合规专项”，我第一件事就是买了本《网络安全法》实体书，放在工位最显眼的地方。测试组的小年轻问我“这书有用吗”，我说“没用，但至少被问责时，我能说‘我学过’”。风扇把快递单吹到地上时，我正翻到第59条，上面写着“网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款……”我合上书，心想这他妈哪是罚款，这是买命钱啊。

（编辑：航空爱好网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!