“永不信任，始终验证”是零信任最常被引用的口号。它的意思不是怀疑一切，而是不预设信任、每次都核实。
“永不信任，始终验证”（Never trust, always verify）几乎是零信任的招牌口号。听上去有点冷冰冰，好像企业对所有人都充满戒备。这篇文章就把这八个字拆开，看看它真正说了什么。
“永不信任”：不是怀疑，而是不预设
“永不信任”常被误读成“怀疑每一个人”。更准确的理解是：不因为你的位置、网络或过去的记录，就提前相信你。
举个例子。传统做法里，只要你的电脑接入了公司内网，系统就倾向于认为你是自己人。零信任的看法是：“在内网”只是一个位置，它不能证明你是谁，也不能证明你的电脑没有问题。所以，位置不能直接换来信任。
“始终验证”：验证什么，什么时候验证
“始终验证”回答了两个问题。
验证什么
- 谁在访问： 是真实的员工本人，还是被盗用的账号？
- 用什么访问： 终端是否在管理范围内，状态是否符合要求？
- 访问什么： 这个人，凭他的岗位，有没有资格访问这项资源？
什么时候验证
不是只在登录那一刻，而是在每次访问敏感资源时。信任是“逐次”建立的，也可以被“随时”收回。
用酒店门卡来理解
住过酒店的人对此一定不陌生：
- 前台核对证件，才发给你门卡（验证身份）。
- 门卡只能打开你的房间和电梯楼层（最小权限）。
- 房间门每次都要刷卡（每次访问都验证）。
- 退房时间一到，门卡自动失效（信任有时效）。
酒店并没有“不信任客人”，它只是不愿意让一张门卡通行全楼、永久有效。零信任所做的，正是把这种逻辑搬到企业系统里。
换成办公室的场景
再看一个常见的企业场景：
- 早上 9 点，李明在公司，用工作电脑登录业务系统，系统静默放行。
- 晚上 11 点，同一个账号突然从陌生地区、一台从未见过的设备上登录，并试图下载大量文件。
在“默认信任”的模式下，只要密码正确，两次访问都会被放行。而在“始终验证”的模式下，第二次访问会触发额外验证，甚至被暂时拦下，等待确认。同一个账号，不同的上下文，得到不同的结果，这才是“始终验证”的价值。
“先确认身份，再判断权限”，也正是统一身份认证准入这类方案的出发点：它面向政府、国央企及大型政企办公环境，围绕“这个人是谁、使用什么终端、可以访问哪些业务、整个访问过程是否有记录”这几个问题，把用户、终端、权限与业务访问关联起来。
常见的两种误解
- 误解一：每次都要输入密码。 并不是。验证可以是后台静默完成的，比如检查终端是否受管、行为是否与平时一致，正常用户很可能毫无感觉。
- 误解二：验证一次就可以高枕无忧。 恰恰相反，“始终”强调的就是不要一劳永逸，而要随着情况变化，动态地重新判断。
这句话的边界
口号很好记，但也有两点需要提醒：
- 验证要有成本意识。 如果每次访问都要员工输入一长串验证信息，没人愿意用。好的做法是：风险低时静默通过，风险高时才加强验证。
- 验证不等于万无一失。 验证能够显著降低冒用账号的风险，但仍要配合权限控制、行为审计等手段。
小结
- “永不信任”是不预设信任，而不是怀疑每个人。
- “始终验证”覆盖谁、用什么、访问什么，并且是逐次进行的。
- 好的验证应当对正常用户尽量无感，对异常行为及时收紧。