遺留系統的安全困境
幾乎每家成熟企業都有一套『碰了就怕壞』的歷史核心系統。這些系統往往承載著最關鍵的獲利業務，但同時也存在著老舊框架、過期第三方套件、未經正規化的 SQL 查詢以及混亂的 Session 狀態。
當安全檢測報告列出數十個高風險項目時，開發團隊往往陷入兩難：改動核心可能導致業務停擺，不改則隨時面臨資安事故威脅。
絞殺者模式（Strangler Fig Pattern）在安全重構中的應用
我們在協助客戶進行安全重構時，強烈反對『推倒重來』的激進做法。取而代之的是透過絞殺者模式進行漸進式替換：
- 在外圍建立安全中介層（Security Interceptor）：在不改動原有核心業務代碼的情況下，透過 Reverse Proxy 或 Framework Middleware 對輸入進行標準化過濾與授權預檢。
- 抽離身分識別與存取控制（IAM Boundary）：將原本散落在各個 JSP/PHP/Controller 的認證邏輯，集中收斂至標準的 OAuth2/OIDC 或 JWT 驗證服務。
- 模組邊界測試保護網：在重構特定模組前，先補充端對端整合測試案例（Integration Tests），確保修復漏洞後的行為與原本業務預期完全吻合。
修復優先級評估矩陣
資源永遠有限，顧問團隊會協助客戶建立二維評估矩陣：依據『漏洞可利用性』與『業務破壞影響度』排列修復順序，優先解決易被外部直接利用的無身分驗證遠端弱點，循序漸進消除系統安全債。