数据不出内网：训练平台的安全设计

后厨、产线、仓储的图片涉及员工肖像、生产流程与经营信息。对很多客户来说，"数据能不能不出内网"不是技术选型题，而是合规与立项的前提题。这篇把训练平台的安全设计摊开讲：防什么、怎么防、出了事怎么查。

先想清楚防什么

训练平台的安全目标可以归纳为四条：数据不外流（图片与标注不出内网）、访问可控制（谁都能看什么是明确的）、资产不被扩散（模型权重不被转发滥用）、行为可追溯（任何操作能查到是谁做的）。四条对应五层设计。

存储：数据落在哪里

平台默认私有化部署：数据集原始图片、版本包、训练权重、交付包全部落在本机存储目录，数据库为本地 SQLite（可切自建 PostgreSQL）。训练调度到内网 GPU Worker，全程无外联依赖——断网状态下除了收不到通知，一切功能正常。没有"数据先上传云端再同步回来"的隐藏环节。

访问控制与最小权限

• 角色分层：管理员管全局（数据集、模型、交付、审计）；标注员仅能访问被分配的数据集，未分配的数据集在接口层直接 403，连列表都看不到；
• 会话机制：登录签发持久化 token，标注员账号停用/删除后存量会话立即失效；
• 开放接口收敛：对外 API Key 仅放行只读白名单路径，写操作一律要求管理员会话；
• 预设类别约束：标注端连"写错类名"这种数据级污染都被拦截——安全不仅是防人，也是防错。

模型资产保护

训练出来的模型和图片一样是资产，甚至更敏感（它是可以被复制使用的智能本身）。保护设计三层：交付包 AES-256-GCM 加密；License Key 经 HKDF 派生解密密钥并绑定有效期，运行时内存解密、权重不落盘；授权可吊销、有下载计数。对内部使用，这套机制同样有意义——它让"谁把模型给了谁"有据可查、可控可收。

审计与追溯

所有变更类请求（POST/PATCH/DELETE）由中间件统一落审计日志：操作者、方法、路径、状态码、来源 IP、时间。即使是无有效凭证的请求也记为 anonymous——扫描与攻击尝试同样可见。审计页面向管理员开放分页查询。配合数据集与模型的版本化（MD5 锁定），"某个版本是怎么来的、谁交付的"全链路可复现。

备份与容灾

安全的最后一层是"丢了能恢复"。平台每日自动备份数据库并保留多份历史；数据目录整体打包即为全量备份（图片、版本包、权重、交付包都在其中）；界面亦支持手动触发备份。恢复演练建议每季度做一次：备份不在保险柜里，在能跑起来的恢复流程里。

延伸阅读：License 授权体系详解、模型版本管理：MD5 锁定与灰度发布。