身份隔离
管理员与用户使用独立账户表、独立登录页、独立会话 Cookie 与独立会话有效期。管理员登录强制要求六位动态验证码，每次登录吊销此前的管理员会话，会话与来源 IP 绑定。
应用层控制
口令使用 scrypt 与每账户独立盐值。会话使用随机不透明令牌，服务端只存哈希。所有带认证的状态变更请求都要求会话级 CSRF 令牌。登录有账户与 IP 双重失败锁定，接口与网关有限流，封禁 IP 在处理前即被拒绝。
数据保护
全部 SQL 使用参数绑定与字段白名单，客户端无法注入表名或列名。供应商密钥用带认证的加密落盘，主密钥存于文件；API 密钥只存哈希且仅显示一次。前端以文本节点渲染响应；安全响应头包含严格的内容安全策略、禁止嵌套、禁用类型嗅探与接口禁止缓存。
完整性与审计
账单、计量事件、两个额度账本、结算、费率版本、拨测记录、评级变更、路由决策、安全事件与审计日志通过 SQLite 触发器在数据库层设为仅追加。管理员操作记录操作人、对象、变更前后的值与 IP。
部署时仍需补充的部分
生产部署应在反向代理层补充 TLS、主机防火墙、加密备份、密钥轮换、日志集中与 Web 应用防火墙。这些属于基础设施工作，不是应用缺失的功能。