平台工程如何内置安全与合规治理？

1. 默认安全的最小权限设计

平台工程在黄金路径中默认启用加密（静态与传输）、最小权限访问控制、网络策略隔离和审计日志，开发者使用平台能力时自动获得符合安全基线的配置，无需自行记忆和实施安全规范。

2. 左移的安全扫描

平台把静态应用安全测试、软件成分分析、基础设施即代码扫描和密钥检测等能力集成到研发流水线的早期阶段，发现问题时阻断部署并给出清晰的修复指引，同时不强迫开发者离开原有工作流。

3. 策略护栏强制合规

通过 OPA、Kyverno 等策略引擎，平台在准入环节强制执行安全与合规规则，例如拒绝部署存在已知漏洞的容器镜像、阻止不符合 CIS 基线的配置上线，实现自动化的合规管控。

4. 持续合规与审计追溯

平台对配置和运行状态进行持续检查，对照安全基准和合规框架自动核验，并保留完整的审计日志，使合规从阶段性的人工审计转变为持续、可追溯的自动化过程。