零信任API網(wǎng)關(guān)在高校網(wǎng)絡(luò)運(yùn)維中的應(yīng)用

摘要：隨著信息技術(shù)的快速發(fā)展，高校網(wǎng)絡(luò)運(yùn)維面臨日益嚴(yán)峻的安全挑戰(zhàn)。文章提出了零信任API網(wǎng)關(guān)解決方案，應(yīng)用在高校網(wǎng)絡(luò)運(yùn)維體系中，旨在增強(qiáng)網(wǎng)絡(luò)的安全性。該方案基于APISIX架構(gòu)，遵循零信任原則，強(qiáng)調(diào)身份認(rèn)證和持續(xù)信任評估，通過微服務(wù)架構(gòu)，構(gòu)建了一個全面的安全防護(hù)體系。系統(tǒng)實(shí)現(xiàn)了認(rèn)證鑒權(quán)、信任評估和動態(tài)防御的具體功能，通過模擬退火優(yōu)化的反向傳播神經(jīng)網(wǎng)絡(luò)算法，提高了智能決策能力。該研究成果已在高校信息化網(wǎng)絡(luò)中得到應(yīng)用，驗(yàn)證了其有效性和可行性，為未來網(wǎng)絡(luò)安全防護(hù)提供了新的思路和方法。

關(guān)鍵詞：零信任；API網(wǎng)關(guān)；BP神經(jīng)網(wǎng)絡(luò)；模擬退火

中圖分類號：TP31""文獻(xiàn)標(biāo)志碼：A

0"引言

隨著科技的迅猛發(fā)展，高校基礎(chǔ)建設(shè)規(guī)模不斷擴(kuò)大，信息化水平不斷提升以及校園網(wǎng)絡(luò)建設(shè)不斷完善，高校網(wǎng)絡(luò)運(yùn)維需求也隨之增多^［1］。然而，這一過程中也伴隨著日益嚴(yán)重的安全隱患。接入方式、接入設(shè)備、接入系統(tǒng)的多樣化導(dǎo)致了缺乏統(tǒng)一的認(rèn)證鑒權(quán)機(jī)制，服務(wù)間的調(diào)用鏈關(guān)系變得異常繁雜，網(wǎng)絡(luò)邊界的模糊化使得安全防護(hù)變得更加困難^［2］。此外，人員安全意識的不足、資金的限制以及安全防護(hù)系統(tǒng)的昂貴成本，都使得高校網(wǎng)絡(luò)運(yùn)維面臨著前所未有的挑戰(zhàn)。各種突破內(nèi)網(wǎng)邊界的安全事件層出不窮，對現(xiàn)有網(wǎng)絡(luò)中間件的安全要求也日益提高，特別是作為請求唯一入口的API網(wǎng)關(guān)，其安全防控的重要性不言而喻。

然而，傳統(tǒng)的API網(wǎng)關(guān)在面對這些挑戰(zhàn)時(shí)顯得力不從心。它們往往只關(guān)注于請求的轉(zhuǎn)發(fā)，即便添加了安全功能，也主要集中在外網(wǎng)到內(nèi)網(wǎng)的邊界安全上，忽視了內(nèi)網(wǎng)中橫向流量的保護(hù)。此外，作為流量中樞，缺乏長期有效的持續(xù)管控機(jī)制，使得傳統(tǒng)API網(wǎng)關(guān)在應(yīng)對不斷變化的安全挑戰(zhàn)時(shí)顯得愈發(fā)困難^［3］。

針對這些問題，本文提出了一種基于APISIX的零信任API網(wǎng)關(guān)解決方案。該方案在APISIX架構(gòu)基礎(chǔ)上，依據(jù)零信任理念設(shè)計(jì)，整合南北及東西向流量，結(jié)合人工智能技術(shù)，實(shí)現(xiàn)了統(tǒng)一認(rèn)證鑒權(quán)、信任評估和動態(tài)防御等功能。在高校網(wǎng)絡(luò)運(yùn)維體系中，API網(wǎng)關(guān)不再僅僅是請求的中轉(zhuǎn)站，而是變成了一個全面的安全防護(hù)節(jié)點(diǎn)，能夠持續(xù)對內(nèi)外部的流量進(jìn)行動態(tài)的監(jiān)控和管理。

1"關(guān)鍵技術(shù)

1.1"APISIX架構(gòu)

APISIX是一個動態(tài)、實(shí)時(shí)、高性能的API網(wǎng)關(guān)架構(gòu)，設(shè)計(jì)初衷是解決網(wǎng)絡(luò)代理的動態(tài)配置問題以及網(wǎng)關(guān)功能的擴(kuò)展性問題^［4］。APISIX的結(jié)構(gòu)分為3層，最底層的Nginx是一個高性能的開源網(wǎng)絡(luò)代理服務(wù)器，善于處理高并發(fā)場景下的網(wǎng)絡(luò)請求。上一層的OpenResty是Nginx的擴(kuò)展，通過設(shè)計(jì)擴(kuò)展掛載點(diǎn)，對外提供代理擴(kuò)展功能。APISIX內(nèi)核實(shí)現(xiàn)了OpenResty的許多掛載函數(shù)，使用插件運(yùn)行框架接管了API請求的生命周期。零信任API網(wǎng)關(guān)主要借助APISIX的2個主要特性。（1）插件運(yùn)行框架。APISIX不僅提供了一系列開箱即用的插件，而且支持二次開發(fā)和擴(kuò)展。通過開發(fā)新的插件以及對現(xiàn)有插件進(jìn)行定制，零信任API網(wǎng)關(guān)可以無縫對接高校的其他組件和服務(wù)，以滿足安全防護(hù)需求。（2）動態(tài)配置能力。通過遠(yuǎn)程API接口，可以方便地管理路由、上游服務(wù)等內(nèi)容。這些配置可以實(shí)時(shí)生效，無須重啟，極大地提高了零信任API網(wǎng)關(guān)的動態(tài)管控能力。

1.2"BP神經(jīng)網(wǎng)絡(luò)

反向傳播（Back Propagation，BP）神經(jīng)網(wǎng)絡(luò)是一種多層前饋神經(jīng)網(wǎng)絡(luò)，通過反向傳播誤差來訓(xùn)練網(wǎng)絡(luò)權(quán)重的監(jiān)督學(xué)習(xí)算法^［5］。在訓(xùn)練時(shí)，首先須要通過前向傳播預(yù)測輸出值，如公式（1）所示。

y^i=f（∑nj=1w_ij·xj+bi）（1）

其中，y^i為預(yù)測輸出值，f為激活函數(shù)，n為輸入值個數(shù)，w_ij為權(quán)重，xj為第j個輸入值，bi為偏置。然后計(jì)算誤差，如公式（2）所示。

第23期2024年12月無線互聯(lián)科技·技術(shù)應(yīng)用"No.23December，2024

第23期2024年12月無線互聯(lián)科技·技術(shù)應(yīng)用"No.23December，2024

L=1m∑mi=1yi-y^i²（2）

其中，L為均方誤差結(jié)果，m為輸出個數(shù)，yi為真實(shí)輸出值。最后通過反向傳播計(jì)算每個參數(shù)的梯度并通過梯度下降法更新參數(shù)^［5］，如公式（3）所示。

w^new_ij=w^old_ij-ηLw_ij（3）

其中，w^new_ij為新權(quán)重，w^old_ij為舊權(quán)重，η為學(xué)習(xí)率，Lw_ij為誤差關(guān)于權(quán)重的偏導(dǎo)數(shù)。零信任API網(wǎng)關(guān)可以集成BP神經(jīng)網(wǎng)絡(luò)，以增強(qiáng)其智能決策能力，通過學(xué)習(xí)API請求模式和用戶行為特征，實(shí)現(xiàn)對API請求的動態(tài)訪問控制。

2"系統(tǒng)設(shè)計(jì)

2.1"零信任設(shè)計(jì)

零信任是一種新興的網(wǎng)絡(luò)安全范式，強(qiáng)調(diào)默認(rèn)不信任網(wǎng)絡(luò)內(nèi)任何實(shí)體，通過實(shí)時(shí)認(rèn)證和授權(quán)動態(tài)調(diào)整訪問控制，構(gòu)建基于身份驗(yàn)證和持續(xù)信任評估的安全模型^［6］?；诖耍阈湃蜛PI網(wǎng)關(guān)的設(shè)計(jì)遵循如下理念。

2.1.1"以身份為基礎(chǔ)

網(wǎng)絡(luò)位置不再決定訪問權(quán)限，所有訪問主體都須要經(jīng)過身份認(rèn)證和授權(quán)^［6］。零信任API網(wǎng)關(guān)針對南北和東西向流量，分別設(shè)計(jì)不同認(rèn)證鑒權(quán)方案，輔以不同的加密算法支撐，確保數(shù)據(jù)傳輸?shù)陌踩院驮L問控制的精確性。

2.1.2"持續(xù)評估

授權(quán)決策不再僅基于靜態(tài)訪問控制模型，而是通過持續(xù)的安全監(jiān)測和信任評估，進(jìn)行動態(tài)細(xì)粒度的授權(quán)^［6］。零信任API網(wǎng)關(guān)借助流量樞紐的優(yōu)勢，采集API請求數(shù)據(jù)，使用BP神經(jīng)網(wǎng)絡(luò)算法，實(shí)現(xiàn)對訪問主體進(jìn)行信任評估。

2.1.3"動態(tài)訪問控制

對環(huán)境因子進(jìn)行全程實(shí)時(shí)監(jiān)測，當(dāng)發(fā)生變更時(shí)，進(jìn)行動態(tài)處置。零信任API網(wǎng)關(guān)針對請求路由構(gòu)建安全策略，根據(jù)實(shí)時(shí)監(jiān)測到的安全態(tài)勢和信任評估結(jié)果，借助控制接口動態(tài)修改網(wǎng)關(guān)路由規(guī)則，實(shí)現(xiàn)對訪問流量的精細(xì)化管理。

2.1.4"最小訪問權(quán)限

為用戶和設(shè)備分配盡可能少的權(quán)限，以便限制潛在攻擊者能夠竊取的信息量并降低單一用戶賬戶被濫用的風(fēng)險(xiǎn)。零信任API網(wǎng)關(guān)針對不同情形實(shí)現(xiàn)了多種權(quán)限限制，確保用戶只能訪問被授權(quán)的資源，從而減少權(quán)限過度擴(kuò)散帶來的安全風(fēng)險(xiǎn)。

2.2"架構(gòu)設(shè)計(jì)

與傳統(tǒng)單一職責(zé)單體架構(gòu)的API網(wǎng)關(guān)不同，零信任API網(wǎng)關(guān)采用微服務(wù)設(shè)計(jì)思路，結(jié)合云原生技術(shù)，通過整合多個服務(wù)來共同實(shí)現(xiàn)全方位的安全防護(hù)需求。系統(tǒng)架構(gòu)如圖1所示，分為數(shù)據(jù)面、控制面和驗(yàn)證面。

數(shù)據(jù)面是零信任API網(wǎng)關(guān)的基礎(chǔ)，負(fù)責(zé)處理所有的網(wǎng)絡(luò)流量。其中，微服務(wù)集群包括了高校中須要部署運(yùn)維的各類服務(wù)，例如教務(wù)服務(wù)、財(cái)務(wù)服務(wù)、教工服務(wù)、學(xué)工服務(wù)等。注冊中心作為數(shù)據(jù)面的關(guān)鍵組件，維護(hù)微服務(wù)集群和API網(wǎng)關(guān)的注冊信息，確保微服務(wù)的動態(tài)發(fā)現(xiàn)請求路由。API網(wǎng)關(guān)基于APISIX架構(gòu)并結(jié)合自定義安全插件搭建，是數(shù)據(jù)面的核心。一方面API網(wǎng)關(guān)作為所有南北向流量的單一入口，對所有外網(wǎng)流量進(jìn)行安全校驗(yàn)。另一方面，API網(wǎng)關(guān)還負(fù)責(zé)東西向流量管理，實(shí)現(xiàn)微服務(wù)之間的安全調(diào)用。

控制面負(fù)責(zé)零信任API網(wǎng)關(guān)的管理和策略制定。其中，認(rèn)證服務(wù)和權(quán)限服務(wù)是高校中已有的關(guān)鍵服務(wù)，負(fù)責(zé)用戶身份驗(yàn)證和權(quán)限控制。網(wǎng)絡(luò)運(yùn)維服務(wù)是APISIX控制臺的功能擴(kuò)展，負(fù)責(zé)路由、流控、日志等可視化配置。動態(tài)防御服務(wù)是控制面的重要組成部分，根據(jù)用戶評分和安全策略，實(shí)時(shí)修改權(quán)限服務(wù)中的用戶身份權(quán)限以及API網(wǎng)關(guān)中的訪問控制列表，以實(shí)現(xiàn)動態(tài)的訪問控制。

驗(yàn)證面包括日志分析服務(wù)、指標(biāo)監(jiān)控服務(wù)和鏈路追蹤服務(wù)等開源數(shù)據(jù)分析服務(wù)，可以高效地對API網(wǎng)關(guān)的運(yùn)行狀態(tài)進(jìn)行實(shí)時(shí)監(jiān)控和分析?？尚旁u估服務(wù)是驗(yàn)證面的核心，它對接數(shù)據(jù)分析服務(wù)，持續(xù)同步用戶、設(shè)備、請求、資源等信息，通過搭建機(jī)器學(xué)習(xí)平臺，定期使用BP神經(jīng)網(wǎng)絡(luò)算法模型分析數(shù)據(jù)，以評估請求主體的信任狀況，為控制面的動態(tài)防御服務(wù)提供依據(jù)。

3"系統(tǒng)實(shí)現(xiàn)

在高校網(wǎng)絡(luò)運(yùn)維體系中，零信任API網(wǎng)關(guān)旨在確保高效穩(wěn)定的請求轉(zhuǎn)發(fā)、路由配置、流量監(jiān)控等基礎(chǔ)功能的同時(shí)，實(shí)現(xiàn)認(rèn)證鑒權(quán)、信任評估、動態(tài)防御等零信任安防功能，以應(yīng)對不斷變化的網(wǎng)絡(luò)安全挑戰(zhàn)。

3.1"認(rèn)證鑒權(quán)實(shí)現(xiàn)

零信任API網(wǎng)關(guān)同時(shí)實(shí)現(xiàn)了對南北和東西向流量的認(rèn)證鑒權(quán)。針對南北向流量中用戶的請求訪問，API網(wǎng)關(guān)采用單點(diǎn)登錄技術(shù)進(jìn)行用戶認(rèn)證，借助外部認(rèn)證服務(wù)確保用戶身份的真實(shí)性和合法性。認(rèn)證后，API網(wǎng)關(guān)利用基于角色的訪問控模型，通過權(quán)限服務(wù)進(jìn)行權(quán)限驗(yàn)證，確保用戶訪問請求在角色權(quán)限范圍內(nèi)。此外，為了保障數(shù)據(jù)傳輸?shù)陌踩?，API網(wǎng)關(guān)在通信過程中采用超文本傳輸安全協(xié)議（Hypertext Transfer Protocol Secure，HTTPS）協(xié)議，利用加密技術(shù)防止數(shù)據(jù)在傳輸過程中被截獲或篡改。針對東西向流量中微服務(wù)之間的遠(yuǎn)程過程調(diào)用（Remote Procedure Call，RPC），API網(wǎng)關(guān)采用JSON網(wǎng)絡(luò)令牌技術(shù)進(jìn)行服務(wù)間的認(rèn)證，傳遞加密的JSON對象，其中包含了認(rèn)證和授權(quán)信息。認(rèn)證后，API網(wǎng)關(guān)利用訪問控制列表進(jìn)行細(xì)粒度的權(quán)限控制。訪問控制列表定義在API網(wǎng)關(guān)中，明確定義了服務(wù)的資源訪問權(quán)限。在通信安全方面，采用雙向傳輸層安全性協(xié)議，要求通信雙方在建立連接前必須通過加密技術(shù)進(jìn)行雙向身份認(rèn)證，有效降低了中間人攻擊的風(fēng)險(xiǎn)。

認(rèn)證鑒權(quán)的核心在于設(shè)計(jì)并實(shí)現(xiàn)APISIX插件，以打通高校的認(rèn)證和權(quán)限服務(wù)。以南北向流量的認(rèn)證鑒權(quán)為例，如圖2所示。其中，第2步當(dāng)API網(wǎng)關(guān)檢查到用戶會話信息失效時(shí)，將返回302狀態(tài)碼告知客戶端重定向到認(rèn)證服務(wù)。第5步當(dāng)用戶在認(rèn)證服務(wù)中完成賬戶登錄后，API網(wǎng)關(guān)會向認(rèn)證服務(wù)發(fā)起RPC請求，以驗(yàn)證服務(wù)票據(jù)的有效性。第6步當(dāng)服務(wù)票據(jù)驗(yàn)證通過后，API網(wǎng)關(guān)會向權(quán)限服務(wù)發(fā)起RPC請求，查詢用戶的授權(quán)信息，確保用戶請求的資源訪問符合權(quán)限策略。

3.2"信任評估實(shí)現(xiàn)

信任評估實(shí)現(xiàn)的核心在于構(gòu)建評估模型。為此，本文首先構(gòu)建一個全面的評估指標(biāo)體系，涵蓋了主體、行為、環(huán)境3個方面的指標(biāo)。主體方面的指標(biāo)是評估的基礎(chǔ)，涉及身份信息、訪問權(quán)限、來源IP、客戶端版本等。這些指標(biāo)主要依托于日志分析服務(wù)提供。行為方面的指標(biāo)更加關(guān)注請求主體的行為模式，包括請求信息、響應(yīng)信息、資源信息、訪問模式、操作類型、請求頻率、錯誤率等。這些指標(biāo)同樣源自日志分析服務(wù)，但需要進(jìn)一步的數(shù)據(jù)處理和特征工程，比如使用特征工程中滑動窗口算法統(tǒng)計(jì)獲得聚合指標(biāo)。環(huán)境方面的指標(biāo)著眼于請求發(fā)起的外部環(huán)境，包括網(wǎng)關(guān)狀態(tài)、服務(wù)狀態(tài)、設(shè)備狀態(tài)、鏈路狀態(tài)等。其中，鏈路狀態(tài)指標(biāo)來自鏈路追蹤服務(wù)，而其他指標(biāo)由指標(biāo)監(jiān)控服務(wù)提供。

在指標(biāo)體系的基礎(chǔ)上，本文采用基于模擬退火的BP神經(jīng)網(wǎng)絡(luò)算法進(jìn)行訓(xùn)練。模擬退火算法是一種概率型優(yōu)化算法，它受到冶金學(xué)中退火過程的啟發(fā)，可以用來優(yōu)化BP神經(jīng)網(wǎng)絡(luò)的權(quán)重和偏置參數(shù)，跳出局部最優(yōu)解，有可能找到全局最優(yōu)解，從而提高學(xué)習(xí)效果。優(yōu)化后的BP神經(jīng)網(wǎng)絡(luò)算法訓(xùn)練流程如圖3所示，包括內(nèi)循環(huán)和外循環(huán)。內(nèi)循環(huán)在給定溫度下進(jìn)行，涉及參數(shù)的隨機(jī)擾動、損失函數(shù)的計(jì)算以及新解的接收決策。這一過程不斷迭代，直至達(dá)到預(yù)定的迭代次數(shù)，確保了在當(dāng)前溫度下充分的搜索和評估。外循環(huán)則負(fù)責(zé)控制溫度的降低和內(nèi)循環(huán)的重復(fù)執(zhí)行，從初始化的高溫逐漸降溫至預(yù)設(shè)的低溫閾值，直至模型誤差達(dá)到可接受的范圍，此時(shí)算法逐漸收斂至最優(yōu)解。

3.3"動態(tài)防御實(shí)現(xiàn)

動態(tài)防御服務(wù)基于信任評估服務(wù)定時(shí)計(jì)算出的用戶評分，結(jié)合安全策略，通過實(shí)時(shí)修改用戶身份權(quán)限和訪問控制列表的方式，實(shí)現(xiàn)動態(tài)的網(wǎng)絡(luò)安全防護(hù)。為滿足高校網(wǎng)絡(luò)運(yùn)維體系的安全需求，本文設(shè)計(jì)了多級安全策略，如表1所示，包括正常、嚴(yán)格、隔離、受限、鎖定和凍結(jié)6個等級。這種策略劃分提供了靈活性，允許根據(jù)實(shí)際安全態(tài)勢和需求，調(diào)整對不同等級請求主體的管理。每級策略都涉及對用戶身份驗(yàn)證的嚴(yán)格程度、資源訪問權(quán)限、敏感數(shù)據(jù)訪問限制以及網(wǎng)絡(luò)訪問安全要求等方面的綜合考量和限制。

安全策略中的限制通過不同的方案實(shí)現(xiàn)。例如，通過RPC機(jī)制動態(tài)通知認(rèn)證服務(wù)和權(quán)限服務(wù)，改變相應(yīng)用戶的身份校驗(yàn)方式和用戶狀態(tài)。通過調(diào)用API網(wǎng)關(guān)的控制接口，動態(tài)變更API網(wǎng)關(guān)的路由規(guī)則、外網(wǎng)訪問方式、敏感數(shù)據(jù)權(quán)限等配置。API網(wǎng)關(guān)的動態(tài)配置能力，使得這些變更能夠?qū)崟r(shí)生效，無需重啟服務(wù)，大大提高了響應(yīng)速度和系統(tǒng)的靈活性。

4"系統(tǒng)應(yīng)用

零信任API網(wǎng)關(guān)部署在高校信息化網(wǎng)絡(luò)集群中，如圖4所示。它作為流量入口，為南北和東西向流量提供安全防護(hù)。零信任API網(wǎng)關(guān)運(yùn)維著高校多個關(guān)鍵服務(wù)，如圖5中路由列表所示。通過精細(xì)配置路由規(guī)則，每個服務(wù)均對應(yīng)設(shè)置多個路由，每個路由根據(jù)服務(wù)特性和安全需求，配置了不同的認(rèn)證、授權(quán)策略以及訪問控制列表，確保了服務(wù)間的邏輯分離，實(shí)現(xiàn)了對校園網(wǎng)絡(luò)資源的有效管理和控制。同時(shí)通過動態(tài)調(diào)整路由規(guī)則，響應(yīng)了校園網(wǎng)絡(luò)環(huán)境中不斷變化的訪問模式和安全威脅，確保了信息化服務(wù)的穩(wěn)定性和可靠性。

5"結(jié)語

本文針對當(dāng)前高校網(wǎng)絡(luò)運(yùn)維面臨的安全隱患，基于APISIX架構(gòu)成功設(shè)計(jì)并實(shí)施了零信任網(wǎng)關(guān)，實(shí)現(xiàn)了統(tǒng)一認(rèn)證鑒權(quán)、信任評估、動態(tài)防御等功能。該網(wǎng)關(guān)已部署在高校信息化集群中，運(yùn)行效果良好，可為后續(xù)類似平臺研發(fā)提供借鑒。展望未來，下一步將持續(xù)探索零信任模型與其他新興技術(shù)如人工智能、大數(shù)據(jù)等的融合應(yīng)用，以期實(shí)現(xiàn)更全面、更智能的網(wǎng)絡(luò)安全防護(hù)。

參考文獻(xiàn)

［1］金義.高校校園網(wǎng)絡(luò)運(yùn)維標(biāo)準(zhǔn)化管理研究［J］.大眾標(biāo)準(zhǔn)化，2024（12）：166-168.

［2］張濤，高建，黎臻，等.基于零信任架構(gòu)的安全網(wǎng)關(guān)設(shè)計(jì)［J］.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2023（6）：2-4.

［3］劉坤.面向零信任api網(wǎng)關(guān)的微隔離技術(shù)研究［D］.重慶：重慶郵電大學(xué)，2022.

［4］黃宏暉，季昭沁，楊海亮.云原生網(wǎng)關(guān)apisix的cas認(rèn)證插件設(shè)計(jì)與實(shí)現(xiàn)［J］.微型電腦應(yīng)用，2024（1）：9-11.

［5］吳崇.基于BP神經(jīng)網(wǎng)絡(luò)的設(shè)備快速估價(jià)模型研究［J］.煤炭工程，2024（7）：220-224.

［6］李宏昌.零信任網(wǎng)絡(luò)安全模型的實(shí)現(xiàn)與應(yīng)用［J］.電子元器件與信息技術(shù)，2024（3）：188-191.

（編輯"王雪芬）

Application of zero trust API gateway in university network operations and maintenance

ZHANG "Zhen

（Zhejiang Financial College， Hangzhou 310000， China）

Abstract： "With the rapid development of information technology， university network operations and maintenance face increasingly severe security challenges. This paper proposes a zero trust API gateway solution applied to the university network operations and maintenance system， aiming to enhance the security of the network. The solution is based on the APISIX architecture， adheres to the principles of zero trust， emphasizes identity authentication and continuous trust assessment， and constructs a comprehensive security protection system through a microservices architecture. The system implements specific functions of authentication and authorization， trust assessment， and dynamic defense， and improves intelligent decision-making capabilities through a backpropagation neural network algorithm optimized by simulated annealing. The research results of this paper have been applied in the university’s information network， verifying its effectiveness and feasibility， providing new ideas and methods for future network security protection.

Key words： zero trust; API gateway; backpropagation neural network; simulated annealing