显式验证、最小权限、假设失陷，是零信任最常被引用的三条原则。本文用日常场景说明每条原则怎样落到系统的具体做法上。
零信任的理念有很多种表述，但最常被引用的是三条：显式验证、最小权限、假设失陷。它们不是口号，而是三类可以落到系统里的具体做法。下面逐条拆开看。
原则一：显式验证
一句话： 做判断时，把能拿到的证据都用上，而不是只看一个条件。
日常场景
去机场安检，工作人员不会只看你的登机牌，还会核对证件、扫描行李。多个信息同时核对，才更可靠。
系统怎么做
- 验证身份：账号、密码，再加上短信、令牌、指纹等额外方式。
- 验证设备：是不是受管设备，系统补丁和安全状态是否正常。
- 参考上下文：登录地点、时间、访问的资源是否与平时一致。
这些信息综合起来，才决定是放行、加强验证，还是拒绝。
原则二：最小权限
一句话： 只给完成工作所必需的权限，并且给多久、用多久都要有边界。
日常场景
物业给装修工人的门禁卡，只在装修期间有效，只能进入该户所在的楼层，而不是全小区通用。
系统怎么做
- 按岗位和业务分配访问范围，而不是“默认全开”。
- 人员调岗或离职时，及时回收权限。
- 对高敏感的访问，使用临时授权，用完即收。
这样一来，即使某个账号被盗，攻击者能拿到的东西也有限。
原则三：假设失陷
一句话： 不要把希望全押在“不被攻破”上，要提前想好“被攻破之后怎么办”。
日常场景
大楼的消防设计，不是假设“一定不会着火”，而是装好喷淋、划分防火分区、设置疏散通道。万一着火，损失也不会蔓延到整栋楼。
系统怎么做
- 分段隔离： 把系统划成不同区域，限制一台设备被攻陷后能触及的范围。
- 全程记录： 保留访问与操作日志，一旦出事，能追溯、能还原。
- 及早发现： 汇聚多方的安全信息，识别异常行为，并持续跟进处置。
三条原则如何配合
可以把它们看成一个循环：
- 显式验证 决定“放不放行”。
- 最小权限 决定“放行之后能做多少”。
- 假设失陷 保证“万一出问题，影响多大、能否发现”。
少了其中任何一条，都会留下缺口：只验证、不限权，进来之后仍然畅通；只限权、不假设失陷，一旦出事就没有退路。
前两条原则，在统一身份认证准入里都能找到对应：它把用户、终端、权限与业务访问关联起来，通过严格认证、按需授权、安全准入和访问审计，让访问既有依据，也有记录。“假设失陷”的后半段——发现与跟进，则可以参考威胁闭环管理：把多源告警汇聚、关联，帮助安全人员识别威胁线索，并让处置形成从发现到验证的连续过程。
小结
- 显式验证：多条证据综合判断。
- 最小权限：够用就好，有范围、有时效。
- 假设失陷：提前准备，缩小影响并及早发现。