第 10 章：把身份、内容与执行权分开

10.1 先确定谁，再判断能做什么

实验从 Authorization: Bearer ... 查出租户，正文只接受 request_id、prompt、capabilities、max_output_units 和可选的 allow_failover。加入 tenant 或 usage 会被拒绝。取消也使用同一身份：DELETE /v1/runs/<request_id> 在租户作用域内查找运行，另一租户猜中 ID 仍得到 404。

这套规则可以阻止正文冒充租户，却不构成公网身份系统。实验密钥是内存中的教学常量，连接是回环 HTTP；生产需要 TLS、密钥托管与轮换、吊销和访问审计。凭证应从可信服务配置注入，不能出现在 URL、提示正文和默认日志里。轮换还要说明旧连接与新请求如何处理，不能只修改配置后假设所有旧凭证已经失效。

认证之后仍需授权。模型具备 tools 能力，只能证明它可能表达工具调用；生产还应将租户允许的能力、数据区域和上游集合，与请求要求和上游能力取交集。实验已经做请求能力与路由能力匹配，尚未实现租户级能力授权，不能把这两者写成同一项现有保证。

10.2 出口地址属于受控配置

如果允许调用者指定上游 URL，网关就可能成为服务器端请求伪造（SSRF）的跳板。一个地址表面指向公网，可能重定向到内网；域名首次解析正常，稍后却解析为本机或云元数据地址。只搜索字符串里是否含有 localhost，覆盖不了这些变化。

可实施的设计是让请求选择受权路由别名，管理端审核固定的协议、主机、端口与凭证归属；网络出口再限制可达目标。解析结果及实际连接目标都要符合策略，重定向关闭或逐跳重新授权，内网与元数据目的地按业务需求明确拒绝。不要把原请求的 Authorization 转发到任意目标。

实验的 Route 只接受带端口的 http://127.0.0.1，目的就是把模型替身留在本机。这个限制允许访问本机端口，因此不是生产 SSRF 防护的完整实现，也不能直接扩成“允许任意 HTTPS”。生产出口策略、DNS 与连接校验需要另写并测试。

10.3 工具执行需要另一份授权

提示注入可能来自用户、检索文档，也可能来自工具结果。网关可以控制数据被发往哪里，却不能靠一条系统提示消除所有内容攻击。执行器必须把模型输出当作待审查数据：累计完整参数后做 schema 校验，再检查租户、目标资源和操作权限；写入、发信等动作需要业务批准与幂等记录。

本实验没有工具执行器。即便配置一个名为 tools 的能力，也不会自动产生隔离沙箱或审批流程。真实系统应给工具最小权限，分别限制文件、网络与运行时间；取消模型连接也不意味着已经发送的邮件可以撤销。Anthropic 的流文档说明工具参数 delta 可能尚非完整 JSON，不能把每个片段直接交给执行器，见来源 S07。

10.4 “尚未开始”也是需要认证的证据

另一个故障例是恶意上游返回 503，同时伪造 X-Lab-Execution: not-started。若网关一见这个头就释放预留并切换，已执行的费用会被隐藏，还可能触发第二次业务动作。

实验的受控切换要求调用者显式 allow_failover=true，路由配置 trust_not_started=True，并收到可信替身的 503 与该私有头。信任来自管理配置及服务合同，不能由响应自我授予。普通 503、没有首事件或生成文本中出现“未开始”，都不能替代证据；流中断仍保持 unknown 预留。RFC 9110 对非幂等自动重试的限制另见 S01。

10.5 把边界变成检查结果

在仓库根目录运行下面的现有测试，分别检查租户隔离、正文越权字段与不可信上游信号；测试使用真实本地 HTTP：

PYTHONPATH=tests python3 -m unittest \
  test_integration.GatewayHTTPTests.test_cancellation_is_tenant_scoped_and_propagates_upstream \
  test_integration.GatewayHTTPTests.test_client_cannot_set_usage_or_tenant \
  test_integration.GatewayHTTPTests.test_untrusted_route_cannot_declare_safe_replay

通过只证明这些受控场景成立。练习： 为“请求声明 image，但租户只获准 text”写出生产授权判定顺序，并列出一个拒绝时不得联系上游的断言。再为重定向到内网的目标设计出口测试；指出两项尚需新增的实现，避免把练习结果当成现有能力。