看门人模式(Gatekeeper)

看门人模式（Gatekeeper）是一种通过引入专用中间代理来保护后端服务与存储的安全设计模式。所有外部请求先经看门人校验与清洗，再由其代为访问受信任的核心组件，客户端无法直接触及关键资源。

概述

直接把处理业务与持有敏感凭据的服务暴露给不可信输入，一旦出现漏洞就可能导致数据泄露或系统被控。看门人把面向外部的解析、验证职责与内部的可信处理职责分离到不同实例，形成一道安全隔离带。

核心原理

• 看门人实例不持有敏感凭据，仅负责接收、验证、清洗请求。
• 可信主机（Keymaster）持有访问后端资源的权限，只接受来自看门人的合法请求。
• 二者尽量运行在不同的安全边界内，限制横向移动。
• 即使看门人被攻陷，攻击者也无法直接获得核心资源的完整权限。

应用场景

该模式适合暴露在公网、面临不可信输入的系统，尤其是处理敏感数据或需满足严格合规要求的后端。它常与阀门、限流及网络隔离手段配合使用。

常见问题

问：看门人和普通反向代理有何不同？答：反向代理侧重转发与负载均衡，看门人更强调安全隔离——刻意不持凭据、专注验证清洗，以缩小攻击面。

问：它会增加延迟吗？答：多一跳会带来少量延迟，但换来的安全隔离通常值得；对性能敏感的路径可优化验证逻辑与网络布局。