企业官网建设流程全解析

本节目标

• 理解 HarmonyOS 7 星盾安全架构从“权限管控”到“意图执行”的范式跃迁，掌握“数据最小化、意图分级仲裁、行为沙箱监控”三重安全机制
• 掌握端侧 AI 模型安全防护的核心手段，包括模型加密、数字签名、完整性校验以及 ModelGuard API 的使用
• 掌握应用沙箱、签名校验、强制访问控制（MAC）三大安全约束对端侧 AI 部署的限制，能够设计合规的模型分发与更新架构
• 掌握 A2A 跨应用智能体通信的权限管控方案，能够通过白名单鉴权、技能风险分级和会话隔离构建安全防线
• 掌握 pac.json5 隐私清单文件的配置方法，能够正确声明个人数据类型、使用目的和特殊 API 调用
• 理解鸿蒙 AI 安全治理六大原则，掌握“数据安全、模型安全、应用安全、算力安全、动态自适应安全”五层护栏的内涵
• 能够为端侧 AI 应用建立从模型保护、权限管控到隐私合规的完整安全治理体系

一、星盾安全架构与 AI 安全底座

1.1 从“权限管控”到“意图执行”的范式跃迁

HarmonyOS 7 的小艺可以跨应用完成“订票、约车、传文件”等连续复杂任务，并且首次向开发者开放了 GUI 操控能力——智能体可以像人一样“看”和“操作”屏幕。当操作系统从“响应指令”变成“主动代办”时，传统的权限模型面临根本性挑战：如果智能体为了完成“订机票”任务，必须连续调用日历、位置、支付、短信等多个敏感权限，是否意味着系统必须授予它“超级用户”级别的通行证？

HarmonyOS 的答案是：系统并没有给智能体发“超级用户通行证”，而是通过数据最小化、意图分级仲裁、行为沙箱监控三重机制，将传统“一刀切”的权限授权，降维成了对每一次具体“操作意图”的精确审计与风险控制。这意味着安全防护的粒度从“应用级权限”细化到了“意图级风险”。

三重机制的核心逻辑：

• 数据最小化：智能体只能获取完成当前意图所必需的最小数据集，而非一次性获取全部权限。
• 意图分级仲裁：每个操作意图根据风险等级（低/中/高）进行差异化授权，高风险意图需要用户显式确认。
• 行为沙箱监控：智能体的所有操作在沙箱中执行，行为可审计、可追溯、可回滚。

1.2 星盾安全架构的核心能力

鸿蒙星盾是 HarmonyOS 的全方位安全防护体系，基于微内核设计、形式化验证和三级安全沙箱机制，构建了从芯片、系统到应用的分层分级防护体系，已获得国际 CC EAL6+ 内核认证及中国 CCRC EAL5+ 系统认证。

HarmonyOS 7 的星盾安全架构宣称是业界首个支持全链路 AI 安全的操作系统体系，其端侧 AI 大模型能够识别包括 AI 换脸、AI 变声在内的 7 类诈骗套路，将安全防护从被动拦截转变为主动识别。星盾防诈平台在终端上构建了 AI 机密计算环境，支持算子管理、标签因子开放、身份匿名管理、标签因子脱敏等能力，依托安全隔离环境真正实现了数据可用不可见，在防诈因子共享及用户隐私保护之间取得了平衡。

1.3 AI 安全治理六大原则

鸿蒙 AI 安全治理坚持“以人为本、安全可控、透明可解释、保护隐私、全生命周期治理、可追责”六大基本原则，核心目标在于将安全隐私打造成系统的内生属性，贯穿于设计、开发、部署、运营的全生命周期。

六大原则的内涵：

以人为本：要求 AI 服务于用户而非替代决策，禁止开发危害人身安全或侵犯人权的 AI 系统，建立人机协作机制确保关键决策保留人类监督与干预，AI 服务具备可中断、可接管的安全兜底机制。

安全可控：AI 系统的行为边界清晰，任何操作都经过授权和审计。

透明可解释：AI 决策过程可追溯、可解释，用户有权了解 AI 的行为逻辑。

保护隐私：数据最小化、本地优先、用户可控，确保用户隐私不被侵犯。

全生命周期治理：安全机制贯穿设计、开发、部署、运营全流程。

可追责：AI 系统的决策和执行过程可审计，支持事后追溯与责任认定。

基于“纵深防御”策略，HarmonyOS 构建起一个动态、多层级协同的机制，以 AI 安全底座，打造数据安全、模型安全、应用安全、算力安全、动态自适应安全五层护栏，为场景化 AI 业务提供全链路、端到端的隐私安全保障。

二、端侧 AI 模型安全与合规部署

2.1 三大安全约束对端侧 AI 的限制

在 HarmonyOS 安全模型下，端侧 AI 能力的部署与更新需要在应用沙箱隔离、签名校验、强制访问控制（MAC）三大安全约束之间找到合规路径。

应用沙箱限制模型文件可见范围与执行边界。模型文件只能存放在应用沙箱内的合法路径（如context.filesDir、context.cacheDir或 HAP 内rawfile目录），禁止从临时目录或其他应用目录读取模型文件，禁止在沙箱内动态加载.so共享库文件，因为动态加载外部.so可能绕过签名校验机制，导致未授权代码执行。

签名校验限制二进制与库的动态引入。推理引擎的 native 库必须随 HAP 静态打包，通过 NAPI 机制调用，不能运行时从外部下载并dlopen。模型文件若从网络下载至沙箱后加载，需做完整性校验（如 SHA256 哈希比对），防止篡改注入。

强制访问控制（MAC）限制 NPU 硬件访问与跨域数据流转。NPU 推理通过 NNRt 系统接口统一调度，应用不能直接操作 NPU 驱动。推理输入数据若涉及用户隐私（如人脸、指纹、健康数据），需按 S3/S4 级别处理，敏感推理应在 TEE 中执行。

2.2 合规部署架构三层设计

基于上述约束，推荐的合规部署架构分为三层：

模型分发层负责模型打包、版本管理和 OTA 更新。基础模型随应用首次安装静态打包分发，将.ms格式模型文件放置在rawfile目录中；动态模型下载至沙箱并做完整性校验。

推理执行层负责模型加载、NPU/CPU 调度和推理计算。通过 MindSpore Lite 或 NNRt 系统接口调用，禁止自行加载.so。

数据安全层负责推理输入输出保护和敏感数据隔离。TEE 保护敏感推理，HUKS 管理加密密钥，数据分级存储。

2.3 模型加密与签名

模型文件需进行加密处理，在存储和传输过程中保护模型的完整性和保密性。可以使用对称加密算法或非对称加密算法对模型文件进行加密，只有在需要使用模型时才进行解密。在模型发布和更新时，对模型进行签名，确保模型的来源可靠且未被篡改。

HarmonyOS 的安全 SDK 提供了ModelGuard API——该 API 可在模型加载前自动校验数字签名、验证哈希摘要、触发 TEE 内安全解密，并强制要求解密密钥仅存在于 Secure Element 上下文，杜绝内存 dump 泄露风险。

密钥管理规范：

• 严禁明文密钥写入resources/base/element/string.json
• 反对使用SharedPreferences存储密钥
• 必须通过 HUKS 创建“受设备绑定+用户认证+时效约束”的三重策略密钥

import{huks}from'@kit.UniversalKeystoreKit';// 通过 HUKS 创建受设备绑定的加密密钥constkeyAlias='model_encryption_key';constproperties:Array<huks.HuksParam>=[{tag:huks.HuksTag.HUKS_TAG_ALGORITHM,value:huks.HuksKeyAlg.HUKS_ALG_AES},{tag:huks.HuksTag.HUKS_TAG_KEY_SIZE,value:huks.HuksKeySize.HUKS_AES_KEY_SIZE_256},{tag:huks.HuksTag.HUKS_TAG_PURPOSE,value:huks.HuksKeyPurpose.HUKS_KEY_PURPOSE_ENCRYPT|huks.HuksKeyPurpose.HUKS_KEY_PURPOSE_DECRYPT},{tag:huks.HuksTag.HUKS_TAG_AUTH_STORAGE_LEVEL,value:huks.HuksAuthStorageLevel.HUKS_AUTH_STORAGE_LEVEL_CE},];awaithuks.generateKeyItem(keyAlias,{properties});

2.4 模型安全审计与实时监控

在模型运行过程中，利用 HarmonyOS 的实时监控技术，对模型的运行状态、系统资源使用情况、网络连接等进行实时监测。对于模型的推理过程，设置合理的性能指标和阈值，当推理时间过长、内存占用过大或出现异常返回结果时，及时发出警报。

可以使用 HiChecker 进行基础检测，发现模型加载或推理过程中的耗时过长、资源泄露等潜在问题。HarmonyOS 系统会自动收集各类与数据安全相关的事件信息，并将其记录为审计日志。对于模型的安全审计，重点关注与模型相关的操作记录，如模型的加载、推理调用等。通过对审计日志的分析，可以发现潜在的安全问题。例如，若发现某个未知来源的 IP 频繁访问模型的训练数据接口，可能存在数据泄露风险。

三、Agent 权限治理与 A2A 安全

3.1 A2A 通信的四大安全痛点

基于 AgentExtensionAbility 的端侧 A2A 跨应用通信框架，解决了传统方案中的四大安全与开发难题：

无标准化鉴权：旧方案无统一校验入口，第三方恶意应用可随意连接本地 Agent，读取隐私技能数据。

缺少调用白名单管控：无法限定仅指定合作应用访问技能，全部应用无差别放行，不符合等保 2.0 最小访问权限规范。

通信无会话隔离：第三方应用可调用全部技能，无法区分“查询类低风险指令”与“修改/删除高风险指令”。

连接无生命周期管理：多应用频繁连接/断开 AgentExtensionAbility，未做代理销毁、监听解绑，商用 7×24 小时终端易出现服务卡死。

3.2 四层安全管控体系

A2A 框架的核心鉴权入口是onAuth，服务端在此获取调用方包名和握手凭证，实现白名单和分级权限拦截。四层安全管控包括：

应用包名白名单拦截：仅合作企业应用允许连接，不相关应用即使知道服务存在也无法建立连接。

技能风险分级拦截：在agent_config.json中为每个技能标注风险等级。查询类技能（如四则运算、备忘录读取）标注为"risk": "low"，修改类技能（如屏幕亮度修改、管理员密码解密）标注为"risk": "high"。高风险技能需要用户显式确认才能执行。

会话隔离与生命周期管理：客户端通过wantAgent.connectAgent建立跨进程通信通道，服务端需管理代理销毁和监听解绑，防止内存泄漏和后台保活冲突。

双向数据通道审计：客户端下发指令、服务端返回技能执行结果，支持长会话实时交互，所有通信记录可用于事后审计。

3.3 Agent Card：能力发现与授权决策分离

Agent Card 是 JSON 元数据文档，用于表达智能体身份、能力、端点、技能与认证要求。它不是产品宣传页，而是客户端决定“能不能调用、应该怎样调用”的依据。

关键安全原则：“对方声明自己会做什么”与“当前用户允许它做什么”是两件事。发现层只负责能力匹配，策略层必须再次结合用户、设备、数据范围和动作风险做决策。天气查询是只读动作，写入日历是可逆写入，两者不能因为都发生在一次旅行规划中，就共享同一套授权策略。

typeCapabilityDecision=|{allowed:true;scope:string[]}|{allowed:false;reason:'UNTRUSTED_AGENT'|'NO_CONSENT'|'SCOPE_DENIED'};functionauthorize(card:AgentCard,task:TaskRequest,session:UserSession):CapabilityDecision{// 1. 校验 Agent 身份是否在信任列表中if(!trustStore.contains(card.identity)){return{allowed:false,reason:'UNTRUSTED_AGENT'};}// 2. 检查用户是否已授权该操作if(!session.hasConsent(task.action)){return{allowed:false,reason:'NO_CONSENT'};}// 3. 检查操作是否在授权范围内if(!session.scope.includes(task.skillId)){return{allowed:false,reason:'SCOPE_DENIED'};}return{allowed:true,scope:session.scope};}

3.4 用户可控的细粒度权限管理

鸿蒙 7 对智能体的权限管理有了更加细分的管控，用户不仅可以自主选择智能体本身的权限，还能精确设置每个生态应用是否能被智能体控制、能怎么被控制。中国信通院联合产业界共同发起《智能体终端权限高质量发展倡议书》，强调坚持权限申请最小必要原则，仅申请智能体功能实现所必需的权限，确保权限使用公开透明，规范敏感权限申请告知内容，充分保障用户知情权与选择权。

四、隐私合规与审计追溯

4.1 pac.json5 隐私清单文件

在 AppGallery Connect 上架应用时需要提供应用的隐私标签。开发者应在项目工程中创建pac.json5配置文件，在文件中声明处理的个人数据类型、使用目的等信息。编译构建时，如集成的 HSP/HAR 中的pac.json5同步声明了隐私保护信息，信息将自动汇总至此文件并随软件打包，上架时 AppGallery Connect 可基于此文件内容自动生成隐私标签。

创建位置：开发 App 情况下，选中AppScope目录新建pac.json5文件；开发 HSP 或 HAR 情况下，选中 HSP 或 HAR 模块目录新建。

核心结构：

• dataProcess：用于声明应用收集的个人数据，包括数据类型、数据项和使用目的。数据类型涵盖标识符、财务信息、基本资料、交易信息、联系人信息、敏感信息、设备信息、位置信息、应用信息、用户内容、运动健康信息等。
• specialAPIs：用于声明应用调用的可用于生成设备指纹的 API 信息。

示例：

{ "dataProcess": { "dataTypes": [ { "type": "DeviceInfo", "items": ["deviceId", "deviceModel"], "purposes": ["用于设备适配和性能优化"] }, { "type": "LocationInfo", "items": ["approximateLocation"], "purposes": ["用于推荐附近服务"] } ] }, "specialAPIs": [ { "name": "ohos.permission.APP_TRACKING_CONSENT", "purpose": "用于广告归因分析" } ] }

4.2 HPIC 端云协同隐私保护

针对端云协同 AI 的安全难题，华为推出 HarmonyOS 个人智能计算系统（HPIC），开创性地将行业领先的设备安全模型延伸至云端场景。HPIC 坚持本地优先、数据最小化、用户可控三大原则，当遇到需要云端算力处理的复杂任务时，云侧 AI 推理会全程运行在用户专属机密环境中。依托 OHTTP 协议、端云协同加密等技术，实现用户身份三重匿名盲化，即便是系统管理员也无法查看用户明文数据。

4.3 全链路追溯与审计

构建覆盖“用户请求—系统调度—AI 生成—应用输出”的全链路追溯能力，记录 AI 系统决策和执行过程，支持事后审计与责任追溯。

开发者需要将代码里所有用到权限、所有调用 SDK、所有收集用户数据的地方列一个清单，然后对照隐私政策逐条检查覆盖情况。重点检查项包括：应用声明了哪些权限，隐私政策里有没有说明每个权限的用途；第三方 SDK 有哪些，每个 SDK 的名称、提供方、收集的数据类型、用途是否写明。

五、多元化习题

习题 1（判断题）

题目：在 HarmonyOS 7 的星盾安全架构中，系统给智能体发放了“超级用户通行证”，使其可以不受限制地访问所有敏感权限。

答案：错误

解读：鸿蒙系统并没有给智能体发“超级用户通行证”，而是通过“数据最小化”、“意图分级仲裁”和“行为沙箱监控”三重机制，将传统“一刀切”的权限授权，降维成了对每一次具体“操作意图”的精确审计与风险控制。

习题 2（单选题）

题目：以下哪个安全约束禁止在沙箱内动态加载.so共享库文件？

A. 签名校验
B. 应用沙箱
C. 强制访问控制
D. 数据分级

答案：B

解读：应用沙箱禁止在沙箱内动态加载.so共享库文件，因为动态加载外部.so可能绕过签名校验机制，导致未授权代码执行。推理引擎的 native 库必须随 HAP 静态打包，通过 NAPI 机制调用。

习题 3（多选题）

题目：关于 A2A 通信的四层安全管控，以下说法正确的有（多选）：

A. 应用包名白名单拦截确保仅合作企业应用允许连接
B. 技能风险分级将查询类技能标注为高风险
C. 会话隔离与生命周期管理防止内存泄漏和后台保活冲突
D. 双向数据通道审计支持长会话实时交互

答案：A、C、D

解读：应用包名白名单拦截确保仅合作企业应用允许连接，选项 A 正确。技能风险分级中，查询类技能（如四则运算、备忘录读取）标注为低风险，修改类技能（如屏幕亮度修改、管理员密码解密）标注为高风险，选项 B 错误。会话隔离与生命周期管理防止内存泄漏和后台保活冲突，选项 C 正确。双向数据通道审计支持长会话实时交互，选项 D 正确。

习题 4（代码填空题）

题目：请补全以下agent_config.json配置，为“管理员密码解密”技能标注高风险等级。

{"agentCards":[{"agentId":"local_enterprise_agent_001","name":"政企通用工具智能体","skills":[{"id":"skill_calc","name":"四则运算查询","risk":"low"},{"id":"skill_admin_pwd_decrypt","name":"管理员密码解密","risk":"______________"}]}]}

答案：high

解读：agent_config.json中为每个技能标注风险等级。查询类技能标注为"risk": "low"，修改/删除类高风险技能标注为"risk": "high"，高风险技能需要用户显式确认才能执行。

习题 5（代码改错题）

题目：以下模型部署代码存在安全问题，请指出问题并修正。

// 从网络下载模型后直接加载asyncfunctionloadModelFromNetwork(url:string):Promise<void>{constresponse=awaithttpRequest(url);constmodelPath=context.filesDir+'/model.ms';awaitwriteFile(modelPath,response);constmodel=awaitmindSporeLite.loadModelFromFile(context,contextConfig,modelPath);}

答案：代码从网络下载模型后直接加载，未做完整性校验，存在模型被篡改注入的安全风险。修正方案是在加载前进行 SHA256 哈希比对：

asyncfunctionloadModelFromNetwork(url:string,expectedHash:string):Promise<void>{constresponse=awaithttpRequest(url);constmodelPath=context.filesDir+'/model.ms';awaitwriteFile(modelPath,response);// 完整性校验：验证下载文件的 SHA256 哈希constactualHash=awaitcomputeSHA256(modelPath);if(actualHash!==expectedHash){thrownewError('模型文件完整性校验失败，可能已被篡改');}constmodel=awaitmindSporeLite.loadModelFromFile(context,contextConfig,modelPath);}

解读：模型文件若从网络下载至沙箱后加载，需做完整性校验（如 SHA256 哈希比对），防止篡改注入。静态模型随 HAP 签名分发，动态模型下载后必须校验完整性。

习题 6（简答题）

题目：简述端侧 AI 合规部署架构的三层设计，以及各层的合规要点。

答案：合规部署架构分为三层。模型分发层负责模型打包、版本管理、OTA 更新，合规要点是静态模型随 HAP 签名分发，动态模型下载至沙箱后做完整性校验。推理执行层负责模型加载、NPU/CPU 调度、推理计算，合规要点是通过 MindSpore Lite / NNRt 系统接口调用，禁止自行加载.so。数据安全层负责推理输入输出保护、敏感数据隔离，合规要点是 TEE 保护敏感推理，HUKS 管理加密密钥，数据分级存储。

解读：三层架构从模型分发、推理执行到数据安全，层层设防。每一层都有明确的合规边界，开发者需要在每一层都遵循相应的安全规范。

习题 7（简答题）

题目：简述鸿蒙 AI 安全治理六大原则及其核心目标。

答案：鸿蒙 AI 安全治理坚持“以人为本、安全可控、透明可解释、保护隐私、全生命周期治理、可追责”六大基本原则。核心目标在于将安全隐私打造成系统的内生属性，贯穿于设计、开发、部署、运营的全生命周期，在保障用户安全隐私的前提下，推动 AI 技术可持续发展与规模化应用。AI 能力内嵌安全，安全与 AI 功能同生共长，鸿蒙 AI 安全治理理念要求在任何数据处理发生之前，安全机制已经就位，并严格遵循“设计即安全、默认隐私保护、端云协同内生、动态自适应”的原则。

解读：六大原则构成了鸿蒙 AI 安全治理的顶层框架，从以人为本到可追责，覆盖了 AI 系统从设计到运营的全生命周期。

习题 8（简答题）

题目：简述 Agent Card 的核心安全原则，以及为什么“能力发现”与“授权决策”必须分离。

答案：Agent Card 是 JSON 元数据文档，用于表达智能体身份、能力、端点、技能与认证要求。它不是产品宣传页，而是客户端决定“能不能调用、应该怎样调用”的依据。核心安全原则是：“对方声明自己会做什么”与“当前用户允许它做什么”是两件事。发现层只负责能力匹配，策略层必须再次结合用户、设备、数据范围和动作风险做决策。天气查询是只读动作，写入日历是可逆写入，两者不能因为都发生在一次旅行规划中，就共享同一套授权策略。能力发现与授权决策必须分离的原因在于：Agent Card 中声明的能力可能被恶意伪造，如果仅凭声明就授予权限，会导致未授权访问。必须在发现之后，由策略层结合用户授权状态、设备上下文和动作风险等级进行二次决策。

解读：Agent Card 的安全设计体现了“零信任”原则——不信任任何声明，所有操作都需要经过独立授权。发现层与授权层的分离，确保了即使 Agent Card 被伪造，也无法绕过授权决策。

习题 9（简答题）

题目：简述 pac.json5 隐私清单文件的核心结构，以及如何正确配置。

答案：pac.json5 隐私清单文件包含两个核心结构：dataProcess用于声明应用收集的个人数据，包括数据类型、数据项和使用目的。数据类型涵盖标识符、财务信息、基本资料、交易信息、联系人信息、敏感信息、设备信息、位置信息、应用信息、用户内容、运动健康信息等。specialAPIs用于声明应用调用的可用于生成设备指纹的 API 信息。创建位置：开发 App 情况下，选中AppScope目录新建pac.json5文件；开发 HSP 或 HAR 情况下，选中 HSP 或 HAR 模块目录新建。编译构建时，如集成的 HSP/HAR 中的pac.json5同步声明了隐私保护信息，信息将自动汇总至此文件并随软件打包，上架时 AppGallery Connect 可基于此文件内容自动生成隐私标签。

解读：pac.json5 是隐私合规的核心配置文件，开发者需要确保声明的数据类型、使用目的与实际代码行为一致，避免因隐私标签缺失或声明不完整导致审核驳回。

习题 10（简答题）

题目：简述 HPIC 端云协同隐私保护的核心原则与实现方式。

答案：HPIC（HarmonyOS 个人智能计算系统）坚持本地优先、数据最小化、用户可控三大原则。当遇到需要云端算力处理的复杂任务时，云侧 AI 推理会全程运行在用户专属机密环境中。依托 OHTTP 协议、端云协同加密等技术，实现用户身份三重匿名盲化，即便是系统管理员也无法查看用户明文数据。HPIC 开创性地将行业领先的设备安全模型延伸至云端场景，在保障用户隐私的前提下，让用户能够享受云端 AI 的强大算力。

解读：HPIC 的核心价值在于解决了端云协同 AI 的隐私难题。通过本地优先、数据最小化和用户可控三大原则，以及机密环境、匿名盲化等技术手段，实现了“数据可用不可见”。

六、本节知识点总结

星盾安全架构
从“权限管控”跃迁到“意图执行”，通过数据最小化、意图分级仲裁、行为沙箱监控三重机制，实现意图级风险控制。获得 CC EAL6+ 内核认证及 CCRC EAL5+ 系统认证，构建芯片—系统—应用分层分级防护体系。

端侧 AI 模型安全
应用沙箱限制模型文件可见范围与执行边界，签名校验限制二进制与库的动态引入，强制访问控制限制 NPU 硬件访问与跨域数据流转。模型加密与签名、ModelGuard API、HUKS 密钥管理构成模型安全防护链。

Agent 权限治理
A2A 通信四层安全管控：应用包名白名单拦截、技能风险分级拦截、会话隔离与生命周期管理、双向数据通道审计。Agent Card 声明能力契约，授权决策与能力发现分离。

隐私合规与审计
pac.json5 隐私清单文件声明个人数据类型、使用目的和特殊 API 调用。HPIC 实现端云协同隐私保护，坚持本地优先、数据最小化、用户可控三大原则。全链路追溯覆盖“用户请求—系统调度—AI 生成—应用输出”。

AI 安全治理原则
六大原则：以人为本、安全可控、透明可解释、保护隐私、全生命周期治理、可追责。五层护栏：数据安全、模型安全、应用安全、算力安全、动态自适应安全。

下节预告

第20课将进入 ArkUI 进阶练中学的收官之作——从工程化到商业化的全链路实践，涵盖应用商业化设计、用户增长体系、数据驱动运营以及开发者生态建设。