6.3 安全与合规实践

6.3 安全与合规实践

本节摘要：PWA 的安全性本质上是横跨客户端运行时、服务端策略层、用户代理决策机制与法律语义框架四重维度的动态契约。本节讲四维拓扑、内容安全策略与 Worker 的协同防御、推送订阅的三阶价值契约，以及把法律原则编译为代码约束的实践。（素材映射：原 6.3 节全部内容。）

上手前先明确

阅读完本节，你应当能够：

1. 画出安全空间的四维拓扑并说明闭环反馈关系；
2. 用哈希指令与受信类型构建"完整性契约"；
3. 设计符合严格同意标准的推送订阅流程；
4. 用数据最小化原则组织权限声明。

一、数字先行：为什么不是补丁

先看一组有冲击力的数据：在被标记为 PWA 的生产站点中，近七成存在至少一项高危安全反模式；其中四成未正确配置内容安全策略，近三成的缓存脚本托管在不安全源；更值得警惕的是，近两成站点在用户未明确授权前就触发后台权限请求，直接触碰隐私法规红线。

这些数字背后是同一种错觉：把安全当部署后的补丁。而 PWA 的架构特性——离线优先、长期驻留、自主更新、设备深度集成——使其天然具备"半自治体"属性：一段被缓存的脚本可能在用户关闭浏览器一周后仍持续执行；一份被持久化的数据可能携带过期但未失效的授权令牌；一次推送触发的交互甚至脱离页面生命周期。安全控制点必须从"请求-响应"的瞬时交互，延展到"部署-驻留-唤醒-终止"的全生命周期。

四维拓扑

理解安全实践的第一步，是放弃"防御式加固"的旧范式，转向契约建模。四个维度构成闭环反馈系统：

• 客户端运行时是契约的执行终端：验证脚本哈希、强制策略指令、拦截不合规调用、隔离消息来源。关键不是"能否阻止"，而是"能否证明阻止的发生"——具备可观测性与可审计性。
• 服务端策略层是契约的权威发布者：通过标准化协议（安全响应头、清单声明、well-known 端点）向浏览器声明意图。其力量不在强制力而在协商力：未声明某敏感能力的站点，前端即使调用，浏览器也直接返回拒绝而非弹出提示——策略在此刻完成了前置裁决。
• 用户代理决策机制是契约的仲裁者：内嵌对规范与法规的解释引擎。当订阅接口被调用，它并非简单转发，而是启动多阶段验证——检查安全上下文、验证服务器密钥格式、查询用户全局偏好、必要时触发不可绕过的权限对话框并记录时间戳与上下文。
• 法律语义框架是契约的终极语境：法规对"同意"的定义——通过声明或明确肯定行动表示——直接塑造了推送接口的实现路径。欧盟法院曾有判例裁定"预勾选复选框不构成有效同意"，这一判决迫使所有主流浏览器把订阅流程重构为两步式。法律在此不是事后惩罚依据，而成为前端接口设计的先验约束。

二、安全策略与 Worker：双重锚定

如果说加密协议是信任体系的地基，内容安全策略与 Service Worker 的协同则是在地基上的双重锚定——前者约束"代码从何处来"，后者定义"代码如何驻留与执行"。

**从白名单到完整性契约。**早期实践常陷入宽松白名单陷阱：允许自家源加任意加密源加内联脚本，看似覆盖全面实则形同虚设——允许内联使任何标签内代码都可执行，彻底废除了策略的核心价值。现代设计必须升维到"完整性契约"：显式声明可信脚本的哈希值，浏览器加载脚本时计算内容哈希并比对，不匹配即拒绝执行——即使分发缓存被污染，恶意代码也被扼杀于启动前。

更进一步的是受信类型机制：强制所有动态脚本创建必须通过显式声明的策略工厂，把"代码来源控制"从响应头下沉到运行时，形成纵深防御：

const scriptPolicy = trustedTypes.createPolicy('onlyCdn', {
  createScript: (s) => {
    if (/^https:\/\/cdn\.example\.com\/.*\.js$/.test(s)) return s;
    throw new Error('脚本来源不被允许');
  }
});
​

策略的执行还应具备可观测性：违规报告指令让浏览器自动把违规详情（页面地址、违反的指令、被阻止的来源、行号列号）发送到指定端点。这些报告不仅是调试工具，更是合规证据链的一环——法规要求"定期测试评估技术措施的有效性"，而持续收集的违规报告正是直接体现。

**Worker 从缓存代理到策略执行器。**它的安全价值体现在三个不可替代的职能上。其一，请求的策略化过滤：可强制所有支付类提交请求携带有效签名并验证时间戳，此逻辑无法被页面脚本绕过——Worker 运行在独立作用域，且请求事件在页面脚本执行前即被触发。其二，敏感数据的本地化脱敏：对本地数据库中的敏感字段做加密，密钥永不离开 Worker 作用域——页面只能通过消息发起"解密请求"，Worker 验证来源与权限后才返回明文，实现零知识存储。其三，运行时完整性自检：定期重新拉取自身脚本、计算哈希、与预期值比对，不匹配则清空缓存并回退安全页——Worker 从被动执行者升级为主动守卫者。

一条黄金法则可总结二者分工：安全策略定义"什么代码可以被加载"，Worker 定义"加载后的代码如何被使用"。

三、可编程的同意：推送订阅的三阶契约

隐私合规在 PWA 语境下不是法务的一纸声明，而是可被浏览器精确解析、可被代码原子化调用、可被审计工具逐行验证的可编程契约。

**第一阶：价值预告。**在调用订阅接口前，页面必须以非中断方式清晰传达推送的价值。电商应用不该只显示"允许通知"，而应呈现："订单发货即时提醒、物流异常自动预警、不会推送促销广告"。此步骤的界面结构还需符合无障碍规范，确保屏幕阅读器用户获得同等信息。

**第二阶：原子化授权。**浏览器的权限提示框是法律"明确同意"的技术具象，其设计受严格约束：禁止预勾选；禁止隐藏"稍后询问"选项；必须包含指向隐私说明的入口。更关键的是权限状态值必须与用户操作严格对应——用户点"阻止"则状态立即变为拒绝，后续订阅调用直接抛出异常而非再次弹窗。

**第三阶：可审计撤回。**同意不是一次性事件而是持续契约：必须提供便捷撤回入口，撤回操作调用退订并同步清除服务端关联的推送端点；且撤回需生成不可篡改的审计日志——退订成功后向合规端发送带数字签名的事件记录（类型、时间戳、用户标识、端点）。此日志成为"被遗忘权"的技术支撑：用户要求删除所有数据时，服务端可据此精准定位并清除全部推送相关记录。

subscription.unsubscribe().then(() => {
  reportComplianceEvent({
    type: '推送同意已撤回',
    timestamp: Date.now(),
    endpointHash: hash(subscription.endpoint),
    signature: signWithDeviceKey(payload)
  });
});
​

数据最小化原则同样可编译为代码约束。清单层面声明必需权限与可选权限的区分——天气应用声明"仅当用户选择基于位置的天气时才需要定位"，避免安装时即索要全部权限；Worker 层面把后台同步与用户显式动作绑定，重试次数严格限制（如最多三次），每次重试记录标识与失败原因供审计。将法律原则固化为不可绕过的技术事实，标志着合规实践进入"代码即法律"的阶段。

四、走向韧性：三层支撑体系

安全合规的终极目标不是某个静态分数，而是一种韧性——在威胁演变、法规收紧、期望提升的背景下仍能自我诊断、自我修复、自我证明的能力。三层支撑：可观测性层通过策略报告、错误日志、违规事件、权限状态轮询构建统一安全事件总线，全部事件打上时间戳与会话标识流入安全信息系统；可验证性层利用加密签名、策略哈希、脚本完整性校验形成可被第三方独立验证的安全凭证链；可演进性层把安全策略声明为可热更新的配置，由 Worker 定期拉取动态注入——法规新增要求时只需更新配置，无需重新部署整个应用。

⚠️ 常见坑：把合规当上线检查表。等审核前才补隐私政策链接、补撤回入口，往往会发现订阅流程的时序已无法满足"两步式"要求——同意模型要在架构期设计，不是发布期粘贴。

💡 关键直觉：技术的最高境界是让复杂性消失于无形、让信任感自然涌现。用户看到安装按钮时感到的是对可靠性的笃定；收到通知时确信那是切身相关的信息而非流量收割；在隧道里应用依然流畅时无需担忧数据被窃——这才是安全合规的真正承诺：不以牺牲安全换体验，而是在安全基石上让体验臻于无形。

五、自查清单与响应预案

安全合规的最后一块拼图是例行自查与事故响应。月度自查：证书到期日历（距最近到期不足两周即告警）；安全响应头抽样验证（从线上真实响应取样本，而非只看配置）；缓存内容抽查——枚举缓存键，确认没有意外存进管理路径或带敏感参数的响应；权限声明的最小化复核（新上的功能有没有顺手多要了权限）。季度演练：模拟一次"缓存脚本被污染"的响应——按预案清空全部缓存、广播刷新指令、通知用户；模拟一次"用户行使被遗忘权"——按审计日志定位并删除其全部数据。演练过与没演练过，真实事故时的差距是以小时计的。

响应预案的骨架：发现（哪个监控指标或报告最先亮红灯）、遏制（清缓存、回滚、下线能力）、根因（四维拓扑里哪一环失守）、修复与加固（把这次的缺口变成下个月的检查项）。写下来，贴在能看见的地方——安全这件事，预案的价值远大于口号。

本节速览

• 要点一：安全是四维闭环契约，不是漏洞补丁；控制点覆盖全生命周期。
• 要点二：内容安全策略从白名单升维到完整性契约，受信类型补足运行时纵深。
• 要点三：Worker 的三大安全职能——策略过滤、零知识存储、完整性自检。
• 要点四：三阶价值契约（预告、授权、撤回）把法规的同意定义编译为接口行为。
• 要点五：数据最小化落在必需与可选权限的声明区分上。
• 要点六：可观测、可验证、可演进三层构成合规韧性。

至此工程闭环走完。下一章抬头看路：iOS 的现实约束、与原生及混合方案的选型对比、以及 WebGPU 与 WebAssembly 拉开的下一幕。