全书目标
以长城关隘的真实防御、查验与误报处理机制为切入点，对照现代分布式系统中的故障隔离、身份验证与零信任架构；强调「边界不是一劳永逸的墙」，避免把古代关隘直接说成古代零信任。
篇幅规划：每章 1.2–1.8 万字，全册 10–15 万字；历史、理论、工程三类内容篇幅约 4 : 3.5 : 2.5。以下为各章提纲，随编纂推进更新。
章节提纲
引用丛书总纲，本册聚焦延伸：在不可完全信任的环境中，如何定义边界、验证身份、隔离故障并持续监控；边界不是一堵墙就万事大吉。
- 开篇场景
- 一次「门开了」的事故：再坚固的关城也毁于一次验证失效。
- 小节结构
- 丛书总纲引用与本册问题域引入
- 历史中关隘失守、误放、里应外合的真实案例引入
- 本册路线图与读者路径
- 古今对照
- 关隘查验 ↔ 访问控制；联防 ↔ 纵深防御。
- 边界声明
- 关隘是地理边界，零信任是逻辑边界；结构相似、对象不同。
- 坊间说法 vs 可考事实
- 「长城 = 古代防火墙」的说法 vs 关隘查验制度的真实文书。
- 设计原则
- 边界须可验证方有效；一次验证不等于永远信任。
事实依据：本册素材卡编纂中 ｜ 现代理论参照：故障隔离与故障域、零信任原则预览（NIST SP 800-207）
以山海关、嘉峪关、居庸关等典型关城为据，讲清关隘的物理结构、查验制度与联防体系。
- 开篇场景
- 一次出关查验的全流程：从符牌核验到瓮城候检。
- 小节结构
- 关隘的考古与文献依据：关城结构实测
- 物理边界与逻辑边界：城墙、瓮城、吊桥、闸门、望楼的组合功能
- 人员与物资查验流程：符牌、腰牌、通关文牒的制度设计
- 关隘的层级与联防：关—堡—墩台的协同关系
- 古今对照
- 多重闸门 ↔ 纵深防御；查验流程 ↔ 认证链。
- 边界声明
- 古代查验无密码学原语，靠实物信物 + 人际辨识。
- 坊间说法 vs 可考事实
- 「过关 = 刷脸」的戏说 vs 符牌腰牌的实物与文书。
- 设计原则
- 纵深冗余让单点失效不致命；流程即控制面。
事实依据：本册素材卡编纂中（首批规划：关城考古实测、符牌腰牌实物等） ｜ 现代理论参照：访问控制模型（DAC/RBAC 直观）、边界防御到零信任的范式迁移
汇集可考的失守、偷渡、买通、误放案例，分析人为与制度漏洞及历史补救机制。
- 开篇场景
- 一个被买通的守夜人：制度的裂缝从人开始。
- 小节结构
- 历史记载中的失守、偷渡、买通、误放案例
- 人为与制度漏洞：守将腐败、情报滞后、夜间与恶劣天气弱点
- 系统冗余与补救：多重闸门、交叉验证、紧急封闭机制
- 古今对照
- 买通 ↔ 内部威胁 / 拜占庭节点；紧急封闭 ↔ 故障隔离。
- 边界声明
- 古代无法撤销「已发放的信任」，只有事后追责。
- 坊间说法 vs 可考事实
- 「固若金汤从未失守」的叙事 vs 可考的失守年表。
- 设计原则
- 内部威胁是最难的故障模型；隔离要快，验证要续。
事实依据：本册素材卡编纂中 ｜ 现代理论参照：拜占庭故障定义回顾（参见素材卡 005）、熔断与隔离模式
把关隘机制抽象为边界定义、入口控制、身份验证、状态监控与故障隔离五要素；引入误报/漏报的代价权衡。
- 开篇场景
- 同一道城门在「宽松」与「严苛」两种查验策略下的成本账。
- 小节结构
- 抽象五要素的提取
- 信任假设的演变：从「默认信任内部」到「持续验证」
- 误报与漏报的代价权衡（false positive / false negative）
- 古今对照
- 误放率/误拦率 ↔ 假阳性/假阴性；查验宽严 ↔ 安全策略调参。
- 边界声明
- 古代权衡靠经验与训令，无形式化的风险评估模型。
- 坊间说法 vs 可考事实
- 「关隘早就懂零信任」的说法 vs 信任假设的根本差异。
- 设计原则
- 安全策略 = 误报漏报代价的权衡函数。
事实依据：本册素材卡编纂中 ｜ 现代理论参照：安全属性（CIA 三元组直观）、假阳性/假阴性代价框架（素材卡 010）、风险与代价建模直观
讲清拜占庭节点定义与故障隔离思想，对照关隘如何限制突破后的扩散。
- 开篇场景
- 瓮城的一课：放进来，围起来——隔离而非硬拒。
- 小节结构
- 拜占庭节点的定义：任意行为（崩溃、延迟、恶意伪造）
- 故障隔离的核心思想：把不可信节点的影响限制在局部
- 与关隘的结构类比：瓮城如何困住已突破之敌，以及类比的边界
- 古今对照
- 瓮城 ↔ 故障域围栏；关—堡—墩台 ↔ 分区拓扑。
- 边界声明
- 瓮城困敌靠物理空间，故障域隔离靠通信限制；机制不同层。
- 坊间说法 vs 可考事实
- 「瓮城 = 沙箱」的说法 vs 物理围困与逻辑隔离的层次差。
- 设计原则
- 隔离的本质是限制影响半径；分区小则故障半径小。
事实依据：拜占庭故障定义见素材卡 005；本册素材卡编纂中 ｜ 现代理论参照：拜占庭容错与故障域、舱壁模式（bulkhead）
对照古代符牌、虎符、腰牌的验证机制与现代 PKI、证书、身份联邦。
- 开篇场景
- 合符一刻：两半相合的信任仪式与它的脆弱性。
- 小节结构
- 古代符牌、虎符、腰牌的验证机制与防伪设计
- 现代对应：公钥基础设施、数字证书与身份联邦
- 为什么「一次性验证」不够：持续身份验证的必要性
- 古今对照
- 合符 ↔ 密钥对合 / 证书链；腰牌 ↔ 凭证（credential）。
- 边界声明
- 符信无撤销机制、无有效期；现代凭证的生命周期管理是质变。
- 坊间说法 vs 可考事实
- 「虎符 = 数字证书」的说法 vs 符信被仿冒的历史记录。
- 设计原则
- 信任根的安全决定全链；凭证须有生命周期。
事实依据：本册素材卡编纂中（首批规划：虎符合符制度等） ｜ 现代理论参照：PKI/证书链、身份联邦与单点登录直观
讲清「永不信任，始终验证」的提出背景与实践原则，对照关隘联防思想的相似与根本差异。
- 开篇场景
- 假想为零信任重构一座关城：哪些制度会被推翻。
- 小节结构
- 零信任的提出背景与实践框架（NIST SP 800-207）
- 微隔离、最小权限、持续监控与多维验证（设备/用户/应用）
- 与关隘联防思想的相似处与根本差异：没有密码学、没有实时全局状态
- 古今对照
- 联防 ↔ 微隔离；持续监控 ↔ 望楼值守。
- 边界声明
- 零信任依赖实时状态与密码学验证，古代两者皆无。
- 坊间说法 vs 可考事实
- 「零信任思想古已有之」的说法 vs 两个根本差异的正面陈述。
- 设计原则
- 持续验证取代一次性放行；最小权限是最小爆炸半径。
事实依据：本册素材卡编纂中（规划含 NIST SP 800-207 等公开标准） ｜ 现代理论参照：NIST SP 800-207 要点、ZTNA 实现形态
讲清网络分段、防火墙到 ZTNA 的工程演进与拜占庭容错系统处理「边界内叛徒」的方式。
- 开篇场景
- 一次现代内网横向移动事件与一次关内奸细案并置。
- 小节结构
- 网络分段与防火墙的工程要点
- 零信任网络访问（ZTNA）的实现形态
- 拜占庭容错系统中如何处理「边界内的叛徒」
- 常见误区：把关隘直接说成古代零信任或已解决安全问题
- 古今对照
- 网络分段 ↔ 关隘分区；ZTNA ↔ 每门每验。
- 边界声明
- 现代边界在协议栈，古代边界在地理；工程对象不同。
- 坊间说法 vs 可考事实
- 「上了零信任就绝对安全」的营销话术 vs 权衡的本质。
- 设计原则
- 边界是策略的执行点，不是安全的全部。
事实依据：本册素材卡编纂中 ｜ 现代理论参照：防火墙/ZTNA 工程、BFT 系统工程形态
在敬畏前提下提炼边界与验证的设计原则，收束本册。
- 开篇场景
- 一张边界原则卡：从瓮城到微隔离。
- 小节结构
- 原则汇总：可监控 / 可审计 / 可快速调整；人的因素重于技术边界
- 用关隘案例帮助理解现代零信任的边界，而非用现代概念美化古代
- 敬畏与对照的再申明
- 古今对照
- 关隘遗产 ↔ 边界工程清单。
- 边界声明
- 每条原则注明迁移边界。
- 坊间说法 vs 可考事实
- 「古代边界智慧高于现代安全」的拔高 vs 平实对照。
- 设计原则
- 审计留痕是边界的记忆；人的治理先于技术的边界。
事实依据：本册素材卡编纂中 ｜ 现代理论参照：安全工程（审计 / 可观测）
收束本册：边界是动态的过程，而非静态的墙；预告第三册（协作与一致性）。
- 开篇场景
- 回到开篇那道门：现在我们知道门为什么开，以及怎么守住。
- 小节结构
- 边界主题原则总表
- 预告：甄别可信之后，如何让全局状态对齐——第三册营建调度与一致性
- 收束要点
- 结语不设新对照，重申边界；收束栏目总检本册流行说法。
现代理论参照：零信任一页图回顾
附录
附录三件套（丛书统一）
- 关键术语古今对照表（体例见第一册附录 A，本册词条含瓮城/符牌/腰牌/合符 ↔ 微隔离/PKI/凭证/密钥对合等）。
- 延伸阅读分级书目：考古报告与史籍（A 级）／经典论文与标准（B 级）／后世研究（C 级）。
- 思想实验：设计一个「关隘式」验证流程，并系统分析其失效模式（守将被买通 / 夜间天气 / 情报滞后）。
事实档案
本册事实档案编纂中，首批规划方向：关城考古实测、符牌腰牌实物、虎符合符制度、NIST SP 800-207 等公开标准。已公开的通用素材卡见事实档案页。