影响与风险
边界和数据流设计错误，往往不是靠上线后补一条规则就能修好。
安全工程与治理
Threat Modeling
威胁建模
在设计阶段识别资产、信任边界、潜在攻击路径和缓解措施。
一句话记忆威胁建模在设计阶段追问谁会怎样破坏什么。
在设计阶段识别资产、信任边界、潜在攻击路径和缓解措施。
交互图解
从概念到风险，再到防护
切换三个步骤，观察角色、机制和结果的变化。
SCENE / 088安全工程与治理
概念：设计文件上传功能时，团队分析来源、存储、读取权限和执行边界。
一个具体场景
把概念放进日常操作
设计文件上传功能时，团队分析来源、存储、读取权限和执行边界。
从这些线索开始
列出资产、参与者、数据流和信任边界，再分析可行威胁与控制。
可以采取的动作
与开发和业务共同评审，记录假设，设计变更后更新并验证措施。