一、安全防护框架

基于等保2.0三级要求的纵深防御体系：

1.1 安全控制矩阵

1.2 合同数据安全生命周期

1. 生成：自动加密（SM4）+数字签名（SM2）

2. 存储：字段加密+密钥轮换（KMS）

3. 使用：动态脱敏+水印追踪

4. 传输：国密SSL+消息级加密

5. 销毁：加密擦除+区块链存证

二、数据加密方案

基于国密算法的全链路数据保护：

2.1 加密策略对比

2.2 国密算法实现

SM4字段加密示例：

// 使用BouncyCastle实现SM4
public class Sm4Util {
    private static final String ALGORITHM_NAME = "SM4";
    private static final String DEFAULT_CIPHER = "SM4/CTR/NoPadding";

    public static byte[] encrypt(byte[] key, byte[] iv, byte[] plaintext) {
        Cipher cipher = Cipher.getInstance(DEFAULT_CIPHER, "BC");
        cipher.init(Cipher.ENCRYPT_MODE, 
            new SecretKeySpec(key, ALGORITHM_NAME),
            new IvParameterSpec(iv));
        return cipher.doFinal(plaintext);
    }

    // 合同金额加密
    public String encryptAmount(BigDecimal amount) {
        byte[] key = KeyManager.getCurrentKey(); // 从KMS获取
        byte[] iv = SecureRandom.getSeed(16);
        byte[] encrypted = encrypt(key, iv, amount.toString().getBytes());
        return Base64.encodeBase64String(ArrayUtils.addAll(iv, encrypted));
    }
}

密钥轮换方案：

# 密钥轮换定时任务
@Scheduled(cron = "0 0 0 1 * ?") // 每月1日执行
public void rotateKeys() {
    // 1. 生成新密钥
    byte[] newKey = generateSm4Key();
    
    // 2. 重新加密所有数据
    jdbcTemplate.query("SELECT id, encrypted_data FROM contracts", rs -> {
        String oldData = decrypt(rs.getString("encrypted_data"));
        String newData = encryptWithNewKey(oldData);
        
        // 3. 批量更新
        batchUpdate(rs.getLong("id"), newData);
    });
    
    // 4. 切换当前密钥
    KeyManager.setCurrentKey(newKey);
    
    // 5. 归档旧密钥
    KeyManager.archiveKey(oldKey);
}

# 多版本密钥解密
public String decrypt(String ciphertext) {
    try {
        return decryptWithKey(currentKey, ciphertext);
    } catch (CryptoException e) {
        // 尝试用历史密钥解密
        for (byte[] oldKey : KeyManager.getHistoricalKeys()) {
            try {
                return decryptWithKey(oldKey, ciphertext);
            } catch (CryptoException ignored) {}
        }
        throw new SecurityException("解密失败");
    }
}

三、零信任架构

基于SPA和微隔离的动态访问控制：

3.1 零信任组件

3.2 动态策略配置

OpenPolicyAgent策略示例：

# 合同访问策略
package contract.access

import future.keywords.in

default allow = false

# 基础规则：用户必须已认证
allow {
    input.auth.is_authenticated
}

# 合同查看权限
allow {
    input.action == "view"
    contract := data.contracts[input.contract_id]
    
    # 条件1：合同创建者
    contract.creator == input.user.id
    
    # 条件2：参与方成员
    input.user.id in contract.parties
    
    # 条件3：授权审批人
    input.user.roles[_] == "approver"
    contract.amount = 2
}

SPA单页应用安全配置：

// 前端路由守卫
router.beforeEach(async (to) => {
  // 1. 获取访问令牌
  const token = await auth.getTokenSilently();
  
  // 2. 检查细粒度权限
  const { allowed, reason } = await checkPolicy({
    resource: `contract:${to.params.id}`,
    action: to.meta.action || 'view',
    context: {
      device: getDeviceInfo(),
      location: await getGeoLocation()
    }
  });

  if (!allowed) {
    // 3. 动态提升认证
    if (reason == 'mfa_required') {
      await auth.mfaChallenge();
      return false;
    }
    throw new Error(`无权访问: ${reason}`);
  }
});

// 安全HTTP头配置
Content-Security-Policy: 
  default-src 'self';
  connect-src 'self' https://api.contract.com;
  script-src 'self' 'unsafe-inline' 'unsafe-eval';
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https://watermark.com;
  frame-ancestors 'none'

四、渗透测试方案

基于ATT&CK框架的实战化安全测试：

4.1 测试用例设计

4.2 安全测试实施

自动化渗透测试脚本：

# 合同ID枚举测试
def test_contract_enumeration():
    for i in range(1000, 2000):
        res = requests.get(
            f"{BASE_URL}/api/contracts/{i}",
            headers={"Authorization": f"Bearer {token}"}
        )
        if res.status_code == 200:
            print(f"发现可访问合同: {i}")
            report_vulnerability(
                "IDOR", 
                f"/api/contracts/{i}",
                "未授权访问风险"
            )

# 审批状态篡改测试
def test_approval_bypass(contract_id):
    # 正常提交审批
    submit_data = {"status": "SUBMITTED"}
    res1 = requests.patch(
        f"{BASE_URL}/api/contracts/{contract_id}",
        json=submit_data,
        headers=AUTH_HEADERS
    )
    
    # 尝试直接更新为已审批
    approve_data = {"status": "APPROVED"}
    res2 = requests.patch(
        f"{BASE_URL}/api/contracts/{contract_id}",
        json=approve_data,
        headers=AUTH_HEADERS
    )
    
    if res2.status_code == 200:
        report_vulnerability(
            "Business Logic Bypass",
            f"/api/contracts/{contract_id}",
            "审批流程绕过风险"
        )

# 执行测试
test_contract_enumeration()
test_approval_bypass("CT20230001")

安全加固建议：

1. 输入验证加固：
   - 合同ID使用UUID替代自增数字
   - 添加资源级权限校验注解：
     @PreAuthorize("@contractAccess.check(#id, 'VIEW')")

2. 审批流程强化：
   - 状态变更通过专用接口处理：
     POST /api/contracts/{id}/approvals
   - 记录完整审批链区块链存证

3. 文件上传防护：
   - 文件内容校验：
     if (!PDFValidator.validate(file)) { reject(); }
   - 病毒扫描：
     clamav.scan(file.getInputStream())

4. 签署链接防伪：
   - 添加时间受限签名：
     /sign?contractId=xx&expires=xx&signature=xx
   - 二次短信验证码确认

五、安全工具包

开箱即用的安全防护资源集合：

5.1 推荐工具集

5.2 安全资源包

▶ 免费获取资源：

关注「企业安全架构」公众号领取：
               • 《国密算法实施指南》
               • 零信任架构设计模板
               • 合同系统渗透测试用例