土法炼钢兴趣小组的算法知识备份

【零信任安全架构】身份感知代理：Google IAP、Pomerium 与零信任的入口

2026-06-12 | architecture · security | #iap #identity-aware-proxy #pomerium #google-iap #oauth2-proxy #jwt #header-injection #zero-trust

身份感知代理（IAP）是零信任架构中用户进入企业资源的唯一入口——它取代了 VPN 的'拨入内网'模型，把每个 HTTP 请求的认证和授权检查放在资源前面。本文拆解 IAP 协议层的完整请求流、JWT 验证的严格性要求、Header Injection 的安全陷阱，以及 Pomerium/oauth2-proxy/Cloudflare Access 的实现差异。