作者简介：十五年数字化软件从业经验；国内SaaS/PaaS领域的早期践行者；2024年开始深入研究大模型，已帮助众多企业实现了大模型应用的落地。
物联网应用的安全问题，往往在项目上线后才开始被认真对待。这不是开发团队不重视，而是在早期阶段，设备接入、数据链路、业务逻辑这些显性需求占据了大部分资源，安全架构的设计被反复推迟。等到系统规模扩大、设备数量增多，才发现当初埋下的认证漏洞、明文传输、权限混乱等问题已经难以在不停机的情况下修复。上海物联网应用开发领域的项目经验表明，安全架构如果不在初期做好顶层设计，后期的修补成本往往是重新设计的数倍。本文围绕物联网系统的认证机制、传输加密、访问控制三个核心维度，拆解工程实现中的真实取舍，而非泛泛列举安全清单。
设备身份认证的机制选型与工程约束
物联网系统的认证问题，比传统Web应用复杂得多。Web应用的用户认证面对的是人，可以依赖密码、短信验证码、OAuth等交互式手段。但设备是无人值守的，它需要在无人干预的情况下完成身份证明，而且这个过程要在资源受限的硬件上运行，不能对计算能力和内存有过高要求。
目前主流的设备认证方案有三类：预置密钥认证、证书认证和动态令牌认证。预置密钥方案实现最简单，在设备出厂时写入唯一的设备ID和密钥，平台侧维护对应的密钥库，每次连接时做HMAC签名校验。这种方式的优点是计算开销小、实现门槛低，适合算力有限的单片机设备。缺点是密钥一旦泄露，补救手段有限，密钥轮换也需要设备端配合更新固件，在大规模部署场景下运维成本很高。
证书认证基于非对称加密，设备持有私钥，平台持有CA根证书，通过TLS握手完成双向认证。这种方案的安全性更强，私钥不离开设备，即使通信被截获也无法伪造身份。工程约束在于，证书的签发、分发、吊销需要一套完整的PKI体系支撑，对中小规模物联网项目来说，搭建和维护这套体系的成本并不低。此外，部分资源极度受限的设备（如某些低功耗传感器）对TLS握手的计算开销也存在实际限制。
动态令牌方案通常结合设备注册流程使用，设备首次接入时完成注册，平台颁发有时效性的访问令牌，设备后续通信携带令牌，令牌过期后重新申请。这种方式在安全性和实现成本之间取得了较好平衡，适合中等规模、设备固件具备一定计算能力的场景。在上海物联网应用开发的实际项目中，工业设备接入倾向于使用证书认证，消费类智能硬件更多采用预置密钥或动态令牌，选型依据始终是设备的硬件能力和运维规模，而不是单纯追求安全等级最高。
传输加密的协议选择与性能瓶颈
认证解决的是"谁在通信"的问题，加密解决的是"通信内容不被窃听"的问题。物联网传输加密的核心挑战在于：协议本身的加密支持程度参差不齐，设备端的计算资源有限，网络环境复杂多变。
MQTT是物联网场景中使用最广泛的协议之一，其本身不提供加密，需要在传输层叠加TLS才能实现加密通信。MQTT over TLS在安全性上没有问题，但TLS握手带来的延迟和计算开销在某些低功耗设备上会造成明显的连接建立时间延长，电池供电设备的功耗也会相应增加。一个常见的工程取舍是：在内网或有物理隔离保障的局域网环境中，接受不加密的MQTT连接，仅在跨公网传输时强制启用TLS。这不是最优解，但在特定部署条件下是可以接受的工程决策。
HTTP/HTTPS的情况相对简单，HTTPS天然携带TLS，对接成本低，适合数据上报频率不高、对延迟不敏感的场景。但HTTP是请求-响应模型，设备无法主动接收服务端推送，如果需要双向通信，必须配合长轮询或升级为WebSocket。WebSocket over TLS在实时监控、设备控制类场景中使用较多，全双工通信的特性使其在需要服务端主动下发指令时比MQTT更直观，但连接管理的复杂度也随之上升。
工业设备场景中，Modbus TCP是绕不开的存在。Modbus协议本身没有任何安全机制，既没有认证也没有加密，完全依赖网络层的隔离保护。在实践中，工业设备通常通过工业网关接入，网关负责协议转换，将Modbus数据转为平台可理解的格式，同时由网关侧承担与云平台之间的加密通信职责。设备侧的安全边界止步于工厂内网，云端边界由网关守护，这是目前工业物联网项目中最常见的分层安全架构。D-coding物联网平台支持通过Modbus TCP网关接入工业设备，正是基于这种分层架构的实践考量，将协议转换和安全边界的处理集中在网关层，而不是要求设备端做改造。
访问控制的粒度设计与权限模型取舍
认证和加密解决了通信安全，访问控制解决的是"谁能做什么"的问题。物联网系统的访问控制比企业应用更复杂，因为访问主体不只是人，还有设备本身。设备可以上报数据，可以接收控制指令，但设备A不应该能读取设备B的数据，某个运维账号可以查看设备状态但不能下发控制指令。这些约束如果没有在权限模型设计阶段明确，后期依靠业务逻辑补丁来实现，会形成大量难以维护的特例代码。
主流的权限模型有RBAC（基于角色的访问控制）和ABAC（基于属性的访问控制）两种。RBAC的实现成本低，角色与权限的映射关系清晰，适合权限层级相对固定的场景。物联网平台的运营人员、设备管理员、数据查看员这类角色划分，用RBAC完全可以覆盖。ABAC的灵活性更高，可以基于设备属性、用户属性、环境属性的组合来判断访问权限，适合需要细粒度控制的复杂场景，比如"只有同一工厂区域内的设备数据才能被对应区域管理员访问"。代价是规则维护复杂度显著上升，调试和审计也更困难。
在上海物联网应用开发项目的实践中，一种常见的折中方案是以RBAC为基础框架，在关键节点引入属性条件约束，而不是全面切换到ABAC。例如，设备数据的读取权限基于角色控制，但数据写入和控制指令的下发额外增加设备归属校验，确保操作者只能控制自己名下的设备。这种混合模式在实现成本和控制粒度之间取得了相对合理的平衡。
设备侧的访问控制同样不能忽视。每台设备只应持有访问自身数据所需的最小权限，不应能够读取其他设备的数据或调用平台的管理接口。这一原则在设计阶段往往容易被接受，但在实现阶段容易被简化处理，尤其是在开发周期紧张时，开发团队倾向于给设备颁发宽泛的权限以减少调试工作量，这种技术债在后期扩展时会带来明显的安全风险。
平台层安全能力的集成与边界
单靠设备侧和传输层的安全措施，无法覆盖物联网系统的全部攻击面。平台层需要具备异常检测、速率限制、审计日志等能力，才能形成完整的安全闭环。
异常检测的基本形式是对设备上报数据的频率和内容进行监控，识别异常的上报频率、超出正常范围的数值、非预期的连接来源等情况。这些检测规则的设定需要结合具体业务场景，没有通用的阈值，需要在系统运行一段时间后根据历史数据调整。速率限制（Rate Limiting）是防止设备被劫持后发起大量请求的基本手段，在API网关层实现，按设备ID或IP地址限制单位时间内的请求数量。
审计日志的价值在安全事件发生后才会被充分体现。完整的审计日志应记录设备的每次认证行为、数据上报记录、控制指令的下发记录以及管理操作记录，并且这些日志本身需要防篡改保护。对接ElasticSearch等日志数据库是常见的技术选择，可以支持高效的全文检索和时间范围查询，便于事后溯源分析。
D-coding平台在数据存储层支持对接PostgreSQL、MySQL、InfluxDB、TDengine等多种数据库，以及ElasticSearch日志数据库，为物联网应用的审计日志存储和查询提供了灵活的基础设施选项。在具体项目中，时序数据（设备上报的传感器数值）和审计日志通常分开存储，前者优先考虑写入性能和时间范围查询效率，后者优先考虑可检索性和存储完整性，两者的技术选型往往不同。
物联网应用的安全架构设计，本质上是在安全强度、实现成本、运维复杂度和设备能力之间不断做取舍。没有一种方案能在所有维度上同时最优，工程师的核心判断力体现在能否根据具体的部署环境、设备类型、业务风险等级，选出当下最合适的组合，而不是照搬某个安全框架的全部要求。上海物联网应用开发的项目积累表明，安全架构做得好的项目，往往不是安全措施最多的，而是安全边界划分最清晰、每一层职责最明确的。
附录：五个常见行业问题（FAQ）
Q1：物联网设备数量很多，为每台设备单独颁发证书的管理成本太高，有没有简化方案？
可以按设备批次或产品型号颁发组证书，配合设备唯一序列号做区分，但这会降低单台设备泄露后的隔离能力。更实用的折中是对高价值设备（如工控设备、网关）使用独立证书，对低价值传感器使用预置密钥加定期轮换策略，按风险等级差异化管理。
Q2：MQTT和WebSocket在物联网场景下应该怎么选？
如果设备需要主动上报数据且对延迟敏感，MQTT的发布订阅模型更合适，协议开销更小。如果业务侧需要频繁向设备下发指令且需要实时响应确认，WebSocket的全双工特性更直观。两者并不互斥，同一个平台里不同类型的设备可以使用不同协议。
Q3：工业设备通过Modbus接入时，安全措施应该加在哪一层？
Modbus本身没有安全机制，安全措施应集中在网关层和云平台接入层。网关负责内网设备的物理隔离和协议转换，云平台接入层负责网关到云端的加密传输和认证校验。设备侧不需要改造，但网关的选型和配置至关重要。
Q4：访问控制用RBAC还是ABAC，判断依据是什么？
如果权限规则可以用"某类用户能做某类操作"清晰描述，RBAC足够。如果权限规则需要结合设备属性、地理位置、时间段等多个条件组合判断，才需要引入ABAC。大多数中小规模物联网项目用RBAC加少量业务逻辑约束就能满足需求，不必过早引入ABAC的复杂度。
Q5：D-coding物联网平台在安全方面能提供哪些基础支撑？
D-coding支持多种协议接入，包括HTTPS、MQTT、WebSocket等，传输层加密可在接入配置阶段统一处理。平台的Serverless云架构和云函数体系支持在业务逻辑层实现自定义的认证校验和访问控制规则，数据存储层支持ElasticSearch等适合审计日志场景的数据库对接，为构建完整的安全链路提供了基础条件，具体的安全策略仍需结合项目实际情况定制设计。