适用场景：合同/证照等敏感文件下载、付费内容分发、内外混合访问的企业系统。本文从威胁模型出发，给出可扩展架构、生产级代码实现与运维要点，可直接落地。1. 威胁模型与目标•直接暴露：文件在static/或CDN公共前缀下，任何人持 URL 即可下载。•URL 泄露/重放：分享链接被转发后长期有效；攻击者批量重放已签名链接。•跨租户越权：A 租户用户能访问 B 租户文件；或已登录但角色不足仍能下载。•爬虫/刷量：恶意 IP/用户高频请求导致带宽、存储、CPU 浪费。•传输/存储泄露：明文传输、磁盘直读、日志泄密。设计目标：身份可信、权限最小化、链接可失效、访问可审计、在高并发下保持稳定并便于水平扩展。2. 总体架构Client -- API Gateway (TLS WAF) -- Spring Boot 服务 (AuthN/AuthZ, 签名校验, 限流)n