安全加固要不要像性能一样算 ROI：「每多一层防护多花 2% P99」这笔账，你的团队是拍脑袋还是有预算？

【背景】 做了 3 年安全加固，最近帮一个高并发网关做加固评审时撞上一个很典型的场景：PM 说「安全必须上全」，SRE 说「你们这 5 层防护吃掉了我 12% 的 P99」，两边都没错，但谁也没拿出过一份「安全开销预算表」。

我拆了一下常见的几类安全开销，量级大概是这样（单请求、稳态）：

• 身份认证：JWT 本地验签 ~0.05ms；走远程 Opaque Token introspection ~5–30ms（一次 RTT）
• mTLS：TLS 1.3 握手长连接均摊可忽略，但短连接场景下每连接 +2 RTT
• WAF / 请求体反序列化检测：按规则集大小 1–8ms 不等，开启 body 深度检测后 P99 放大最明显
• 审计日志异步落盘：p99 几乎无感，但磁盘 I/O 峰值会跟业务日志抢
• 限流 / 频控：本地令牌桶 ~0.01ms，分布式限流（Redis）每次 +1 个 RTT

【常见分歧】

1. 「安全是合规底线，不算成本」vs「安全是功能，要进 SLO 预算」——前者在审计时好交差，后者在压测时好排期。
2. 「全量开启最安全」vs「按风险分级开启」——分级听着对，但谁来定级、多久复审一次，多数团队没有机制。
3. 「性能和安全分开两个团队各自优化」vs「同一个团队端到端负责」——前者省沟通成本，后者省返工成本。

【我的倾向】 我倾向把安全开销当成一等公民的「非功能预算」来管，理由有三：

• 可观测：给每个安全组件打 span（auth / waf / rate-limit），P99 里能拆出安全占比，比拍脑袋「我们安全没问题」可信；
• 可谈判：PM 和 SRE 在同一个表上谈「这 12% 里哪 3% 可以砍」，比抽象争论「安不安全」容易收敛；
• 可演进：分级开启 + 定期复审，风险等级变了开销跟着变，而不是上线时一次拍死。

具体做法上，我建议至少做三件事：

1. 压测基线里把安全组件单独开关两组跑，拿到「有/无」的 P50/P99 差值；
2. 每个安全组件在架构文档里写清「它防的是哪类威胁、失效后果是什么」，没有这两项的组件默认砍掉；
3. 建立「安全开销复审」的季度节奏，跟 SLO 复审放一起开。

【想听大家聊的】

• 你们线上有没有量化过安全组件的 P99 占比？大概什么量级？
• 「按风险分级开启」具体怎么落地的？谁来定级、多久复审一次？
• 有没有遇到过「审计要求全量开启」和「性能预算不够」正面冲突的？最后怎么解的？
• mTLS 在内部东西向流量上，你们是全员开还是只开关键链路？短连接场景怎么处理的？

欢迎把你们的「安全开销预算表」贴出来对一对，哪怕只有一行数也行。