生产环境必须部署在私网且不暴露公网入口；测试环境若需临时外访，须通过带身份校验和流量审计的独立反向代理或API网关接入，严禁开放测试机公网IP。
公网与私网之间不直接打通生产与测试环境——这是隔离的底线。生产环境必须部署在私网，完全不暴露公网入口；测试环境若需对外提供临时访问（如UAT演示），应通过独立的、带身份校验和流量审计的反向代理或API网关接入，而非开放测试机的公网IP。
私网内部：用子网+ACL实现硬隔离
生产与测试环境必须划分不同私网子网，且地址段无重叠：
- 生产环境建议使用 10.100.0.0/24（或更细粒度，如 Web 层 10.100.1.0/26、DB 层 10.100.1.64/26）
- 测试环境单独划出 172.16.10.128/26，与开发网段（如 172.16.10.0/25）也严格分离
- 在核心交换机或云平台安全组中配置 ACL：默认拒绝所有跨子网流量，仅显式放行必要路径（如测试环境的 CI/CD 节点 → 生产镜像仓库的 HTTPS 拉取端口）
有限互通：只允许“单向、受控、可审计”的出口
测试环境需要访问生产资源时（例如同步脱敏数据、调用生产配置中心），必须满足三个条件：
- 单向发起：仅测试环境主动连接生产服务，生产环境禁止反向访问测试网络
- 网关中转：所有跨环境调用走统一 API 网关或跳转代理，不直连 IP 和端口
- 强身份+日志：网关强制校验 JWT 或 mTLS，并记录完整请求方、目标、时间、返回码，保留至少 180 天
公网侧绝不混用：域名与证书物理分离
即使测试环境要临时开放外网访问，也必须与生产彻底解耦：
- 使用独立域名，如 test-app.example.com（不能是 test.example.com 或 *.example.com 泛解析）
- 申请独立 SSL 证书，不复用生产证书；证书有效期设为 30–90 天，避免长期有效带来的泄露风险
- 前端静态资源、API 基础路径全部区分环境前缀（如 /test-api/），后端路由按 Host 或 Header 匹配，杜绝配置误切
真正安全的互通不是“怎么连”，而是“连什么、谁准许、留没痕”。只要跳过网关直连、复用域名或证书、允许 ICMP/SSH 等基础协议穿透，隔离就形同虚设。
