安全加固的"反噬效应"：什么时候安全设施本身成了最大的风险源？

先说背景。我做了 10 年分布式系统，安全加固是日常，但越做越觉得一个悖论：我们加的每一层防护，本身都在引入新的故障点和攻击面。

打个比方：你给房子装了防盗门、猫眼、门铃、电子锁、指纹锁、监控摄像头、报警联动——每一样都是"安全"，但小偷现在只需要让你的指纹锁主板短路，或者把监控 NVR 远程打穿，整栋楼反而比"一把铁锁"更危险。

常见的几种做法（也是分歧所在）：

A. "层层叠加"派： WAF → 网关鉴权 → 服务间 mTLS → DB ACL → NetworkPolicy → 审计日志，六层全上。逻辑是"纵深防御，一层被破还有下一层"。代价：证书轮换 90 天一次，mTLS 握手抖动；WAF 规则误杀正常流量；六层里任何一层配置错误都是 P0。

B. "够用就好"派： 只做三件大事——入口鉴权、密钥管理、审计留痕。其余交给网络隔离和"默认拒绝"。逻辑是"层数越少，故障面越小，排查越快"。代价：真出了横向移动，缺乏中间拦截点。

C. "全自动化"派： 安全配置全部 IaC 化（Terraform/OPA Gatekeeper），人不做任何手工操作。逻辑是"消除人为漂移"。代价：自动化管道本身成了单点——CI 挂了全服务没法部署，OPA 规则写错一次就是全局事故。

我的倾向：

我偏 B，但带一个硬条件："够用"的边界不是拍脑袋，而是用"攻击者视角的最短路径"来量。 具体来说，我习惯做一个"红队自查"：假设我是攻击者，从外部到核心数据，最短路径上有几道门？如果最短路径上只有 1 道门，那不管其他 5 层多漂亮，都是纸糊的。反过来，如果最短路径上有 3 道独立门，那其他层就是锦上添花，砍掉也不心疼。

我见过最典型的"反噬"案例：某团队安全基线要求所有服务开启 mTLS + 证书 30 天轮换 + 双向校验。结果安全团队为了"零中断"搞了一套自动续签，但续签服务本身没有高可用——续签服务一挂，全集群 40 个服务在 30 天窗口内陆续证书过期，直接雪崩。安全设施成了可用性杀手。

想听大家聊聊：

1. 你遇到过"安全措施本身引发事故"的具体案例吗？是证书、WAF、策略引擎，还是别的？
2. 你的团队怎么界定"够用"？是安全团队拍板、业务团队拍板，还是有量化指标（比如"攻击最短路径 ≥ N 道门"）？
3. 当安全设施成了最大单点，你们怎么处理？加冗余？降级？还是干脆砍掉某一层？
4. 有没有"看起来花里胡哨、实际上安全收益接近零"的安全措施，你们砍掉过？

期待不同角色（安全、SRE、业务开发）的视角碰撞。