说句掏心窝子的话，做我们这行，尤其是涉及政企客户或者那些有点“特殊背景”的项目时，最怕的不是技术难，而是合规这块儿让人心里打鼓。最近有个老客户找我喝茶，愁眉苦脸的，说他们公司接了个内部系统开发的活儿，甲方突然要求把所有数据权限收得死死的，连他们自己的运维团队都进不去后台看日志。这哥们儿问我，是不是甲方在故意刁难，还是说这里面有什么猫腻？我听完乐了，我说你这不是刁难，这是正规军的做法。
咱们干建站的，平时总想着怎么把功能做全，怎么把页面做得花里胡哨，怎么让用户体验丝般顺滑。但在涉密或者准涉密的领域，逻辑完全反过来了。这里的核心就两个词：一个是“工作需要”，另一个是“最小化”。这两个概念听起来像教科书里的废话，但在实际操作中，那就是生死线。
我记得前年有个做军工配套的企业找我做内网门户。当时项目经理挺年轻，觉得既然叫“内网”，那肯定就是内部员工随便看嘛。结果在定权限的时候，他把财务、人事、研发、后勤全部打通，搞了个超级管理员账号，谁都能登。我当时就拦住了他，我说这绝对不行。为什么？因为“工作需要原则和最小化原则是确定国家秘密知悉范围”的基础。你想想，一个搞后勤采购的，需要知道研发部门下周要测试什么新型材料吗？不需要。但他如果有了超级权限，万一账号被盗，或者他本人因为某些原因被策反，那损失就是不可估量的。
很多人对“最小化”有误解，觉得是少给点权限就行。错，大错特错。最小化不是“少”，而是“刚好够用”。比如，研发部门的人，只能看自己项目的代码和文档，跨项目的一概不可见。财务只能看预算和报销流程，不能看具体的技术参数。这就是“工作需要”。只有当你的岗位职责明确需要接触某项信息，才能给你开这个口子。否则，哪怕你是CEO，如果他不直接参与那个涉密项目，他也应该被排除在外。
我见过太多因为不懂这个原则而翻车的案例。有个做安防监控的公司，为了图省事，搞了个统一后台，所有子公司的视频流都汇聚到一个大屏上。结果呢，某地分公司出了点内部纠纷，有人通过后台看到了不该看的内容，虽然没外泄，但在内部造成了极大的恐慌，最后审计部门介入，整个系统被叫停整改。这钱花得冤不冤？太冤了。这时候你再回过头去理解“工作需要原则和最小化原则是确定国家秘密知悉范围”，你就会发现，这不仅仅是法律条文，这是血泪教训总结出来的操作指南。
在实际落地中，怎么做到这两点？别搞那些花里胡哨的复杂架构，简单粗暴最有效。第一，权限分级要细。不要搞什么“管理员”、“普通用户”这种大分类，要细化到“角色”、“数据域”。第二，审批流程要严。谁需要看什么数据，必须经过书面或电子流程审批，而且这个审批记录要留痕，随时可查。第三，定期审计。别以为设完权限就一劳永逸了，人员流动、岗位调整，权限得跟着变。不然，离职员工的账号还开着，那就是巨大的隐患。
有时候客户会抱怨，说这样太麻烦了，效率低。我跟他们说，在涉密领域，安全就是最大的效率。一旦出事，整个项目黄了，公司可能都保不住，还谈什么效率？所以，别嫌麻烦，别嫌繁琐。把“工作需要原则和最小化原则是确定国家秘密知悉范围”刻在脑子里，做成代码里的逻辑，这才是对客户负责，也是对自己负责。
最后再啰嗦一句，别总想着钻空子，觉得“差不多就行”。在保密这件事上，没有差不多，只有“是”和“不是”。你多给一个权限，就多一分风险。把基础打牢，把规矩立好，这活儿才能干得长久，睡得安稳。毕竟，咱们都是靠手艺吃饭的，稳当比什么都强。
