| 原则 | 凭据与环境一一对应；跨环境访问默认禁止，需要时显式授权与留痕 |
|---|---|
| 实现 | 云账号/角色分离；数据库账号按环境与库授权；对象存储桶策略隔离 |
| 轮换 | 各环境独立轮换，互不牵连 |
授权示例（PostgreSQL）
授权示例（PostgreSQL）
CREATE ROLE app_staging LOGIN PASSWORD '...';
GRANT CONNECT ON DATABASE app_staging TO app_staging;
-- 生产库对 app_staging 无任何授权定期做「凭据越界测试」：从测试环境尝试访问生产资源，验证拒绝符合预期。