本文档由 g2rain-spring-boot-starter 的 docs/security/security-boundaries.md 自动同步生成。

# 安全边界

身份与权限

Web、Feign、部门主体和数据隔离模块会传播或解释身份信息。进入系统的身份头必须由可信网关建立；业务应用不得信任客户端任意伪造的内部头。@IgnoreIsolation 属于权限绕过能力，应限制使用并纳入代码评审。

数据隔离

隔离策略、组织层级、Mapper 元数据和 SQL 改写共同决定行级授权。远程策略不可用、缓存过期、未知表或 SQL 无法解析时的行为必须显式测试，不能默认降级为不隔离。

日志与遥测

访问日志与 Feign debug 日志可能包含 header、body 和业务结果。生产环境应关闭不必要的 debug，配置脱敏，并禁止记录认证凭据、Cookie、Token 和个人敏感数据。OTLP 端点和认证信息由应用安全配置提供。

Redis 与消息

Redis、Redisson 和 Stream Binder 连接需要最小权限、TLS/网络隔离和受控凭据。消息消费者必须考虑重复、乱序、恶意载荷和无 group 广播语义。

供应链

Central Portal 与 GPG 凭据只能进入 CI Secret，禁止写入仓库、构建日志或文档。安全问题遵循仓库的私密披露流程；当前仓库缺少独立 SECURITY.md 时应使用组织级渠道。