零信任架构落地指南-含身份认证和微分段

密级：内部文档编号：ZTA-2026-001

企业安全架构系列文档

零信任架构落地指南

身份认证体系与微分段实践

ZEROTRUSTARCHITECTUREIMPLEMENTATIONGUIDE

适用组织【组织名称】

适用规模200—5000人规模企业及分支机构

覆盖范围身份认证、终端信任、网络微分段、数据保护、策略引擎

文档版本V1.0

编制日期2026年9月20日

适用期限自发布之日起24个月，期满前复审

【编制单位名称】

本指南用于指导零信任架构的分阶段落地，含技术方案、实施步骤与运营方法

文档控制信息

一、版本记录

版本修订日期修订人修订内容审核人批准人

V0.12026-09-05【姓名】完成架构框架与身份认证章节初稿——

V0.22026-09-13【姓名】补充微分段设计方法与实施路线图【姓名】—

V1.02026-09-20【姓名】补充运营指标、避坑指南与附录检查【姓名】【姓名】

清单，定稿发布

二、签署栏

角色姓名签字日期

编制人【姓名】

审核人【姓名】

批准人【姓名】

使用部门确认【姓名】

三、适用说明

本指南面向已完成基础安全建设、希望从边界防护模型转向零信任模型的组织，提供从现状评估、方案设计到

分阶段落地的完整方法。指南中的技术方案以通用能力描述为主，不绑定特定厂商产品；涉及的具体配置命令

与参数，以实际部署环境的官方文档为准。

指南中的组织名称、人员姓名、地址、账号、地址标识等均以占位符形式呈现，实际使用时按组织实际情况替

换。凡涉及法律法规、国家标准与行业规范的内容，均以引用时点公开的现行有效版本为准，实际执行时应核

对最新发布状态。

四、术语与缩略语

术语/缩略语含义说明

零信任（ZeroTrust）一种安全理念与架构方法，核心主张是不因资源位于内网或外网而给予默认信任，所有访问请求都

必须经过身份验证、授权与持续评估后才能获得最小必要访问权限。

ZTAZeroTrustArchitecture，零信任架构，将零信任理念落实为可实施的技术架构。

术语/缩略语含义说明

策略引擎（PE）PolicyEngine，零信任架构中的决策核心，根据身份、设备、环境、数据等多维信息，判定一次

访问请求是允许、拒绝还是需要附加条件。

策略管理员（PA）PolicyAdministrator，负责将策略引擎的判定结果转换为对具体连接的控制动作，负责会话的建

立与撤销。

策略执行点（PEP）PolicyEnforcementPoint，位于访问路径上的执行组件，负责实际放行或阻断流量，可部署在终

端、网关、应用或网络设备上。

身份提供方（IdP）IdentityProvider，负责身份存储、认证与令牌签发的系统。

单点登录（SSO）SingleSign-On，用户一次认证后可访问多个相互信任的应用系统。

多因素认证（MFA）Multi-FactorAuthentication，在口令之外增加第二种或更多验证因素，如动态口令、推送确

认、硬件密钥。

通行密钥（Passkey）基于公钥密码学的无口令认证方式，私钥保存在用户设备的安全区域，认证时通过签名完成，不传

输可被复制的口令。

FIDO2/WebAuthn支持无口令与硬件令牌认证的开放标准，是通行密钥的技术基础。

特权访问管理（PAM）PrivilegedAccessManagement，对高权限账号的认证、授权、操作审计与会话记录进行集中管

理。

身份治理与行政管理IdentityGovernanceandAdministration，覆盖账号生命周期、权限申请审批、定期复核与合规

（IGA）审计的身份管理能力。

微分段将数据中心或云环境划分为细粒度的逻辑安全区域，按工作负载身份与业务关系精细控制东西向流

（Microsegmentation）量，而非仅依赖网络地址划分。

东西向流量数据中心内部服务器之间、工作负载之间的通信流量。

南北向流量外部用户或外部网络进入数据中心、以及数据中心向外发起的流量。

工作负载身份为每个工作负载（容器、虚拟机、服务）分配的可验证身份，用于服务间认证与授权。

软件定义边界（SDP）SoftwareDefinedPerimeter，通过先认证后连接的方式隐藏资源，未经授权的访问者无法探测到

资源的存在。

安全访问服务边缘SecureAccessServiceEdge，将网络接入能力与安全能力融合，通过云化方式为分布式用户与分

（SASE）支提供统一访问控制。

持续自适应风险与信任持续收集风险信号、动态调整信任等级与访问权限的方法论，是零信任持续评估能力的思想来源。

评估（CARTA）

属性基访问控制Attribute-BasedAccessControl，根据主体属性、资源属性、动作属性与环境属性共同判定访问

（ABAC）是否允许。

策略即代码（PaC）PolicyasCode，将访问策略以结构化文件形式管理，纳入版本控制与自动化发布流程。

最低权限原则任何主体只应获得完成其职责所必需的最小权限，且权限应具有时效性与可回收性。

术语/缩略语含义说明

假设失陷零信任的核心前提之一，假设网络环境与部分终端已被攻陷，所有访问都需重新验证。

信任等级根据身份强度、设备健康度、环境风险、行为异常等信号综合计算的动态分值，用于决定授予的访

问权限范围。

爆炸半径一处安全事件所能影响的最大范围，微分段的核心目标之一即限制爆炸半径。

目录

第一章零信任的核心理念与演进背景1

1.1传统边界防护模型为何失效1

1.2零信任的定义与七条核心主张2

1.3零信任不等于什么：六种常见误解4

1.4什么样的组织适合现在启动5

第二章零信任参考架构与组件职责7

2.1架构三大核心组件7

2.2一次访问请求的完整判定流程8

2.3信任算法与信任等级模型10

2.4策略执行点的部署位置选择11

2.5与现有安全能力的衔接关系12

第三章成熟度评估与现状盘点14

3.1五级成熟度模型14

3.2身份与资产盘点方法15

3.3数据流梳理与信任边界识别17

3.4差距分析模板与优先级排序18

第四章身份认证体系建设（上）21

4.1身份治理：一切信任的起点21

4.2账号生命周期管理23

4.3认证强度分级与场景匹配25

4.4多因素认证的落地路径27

4.5无口令认证与通行密钥30

第五章身份认证体系建设（下）33

5.1单点登录与联合身份33

5.2特权访问管理35

5.3设备身份与终端信任38

5.4服务身份与工作负载身份41

5.5令牌与会话的生命周期管理43

第六章微分段体系设计（上）46

6.1微分段要解决的问题46

6.2四种分段粒度的对比与选择47

6.3标签体系设计：分段的基础工程50

6.4微分段策略的编写方法52

第七章微分段体系设计（下）56

7.1从监控模式到强制模式的迁移56

7.2关键场景的分段实践58

7.3与云环境、容器环境的结合61

7.4分段策略的变更与回归验证63

第八章策略引擎与持续评估65

8.1策略模型设计65

8.2风险信号采集与评分67

8.3策略即代码的工程实践69

8.4用户体验与安全的平衡71

第九章数据安全与加密73

9.1数据分类分级73

9.2加密与密钥管理75

9.3数据访问的精细化控制77

第十章实施路线图与组织保障79

10.1四阶段实施路线79

10.2快速见效项目清单82

10.3组织分工与责任矩阵84

10.4预算与资源估算方法86

第十一章运营指标与持续改进88

11.1效果度量指标体系88

11.2常见问题与处置方法90

11.3十二个典型误区与避坑指南93

第十二章附录97

附录A零信任落地检查清单97

附录B身份认证策略矩阵模板100

附录C微分段策略登记表模板102

附录D常见问题解答104

附录E合规与隐私声明108

第一章零信任的核心理念与演进背景

理解零信任，先要理解它要解决的具体问题。本章从传统边界模型失效的真实原因出发，给出零信任的定义、核

心主张与常见误解，并帮助判断组织是否具备启动条件。

1.1传统边界防护模型为何失效

传统安全模型的基本假设是：内网是可信的，外网是不可信的。安全资源被集中部署在网络的出入口，形成一

道“护城河”。这个假设在二十年前基本成立，因为当时的业务系统大多部署在自有数据中心，员工在固定办

公场所使用固定终端办公，访问路径单一且边界清晰。

而现在，这个假设已经被四个变化彻底打破。

变化因素具体表现对传统模型的冲击

业务云化业务系统从自有数据中心迁移至公有云、混护城河式的边界防护失去明确的位置，云上资源

合云，资源不再集中在一个物理边界内的访问路径绕过原有边界

办公移动化员工在家庭、差旅、客户现场等场景办公，终端不再处于受控网络内，基于网络位置判断可

使用个人终端接入业务系统信度的逻辑失效

应用接口化系统间通过接口进行数据交换，服务调用关东西向流量大幅增长，边界设备无法覆盖内部服

系复杂且频繁务之间的通信

攻击手法演进攻击者更多采用凭据窃取、供应链植入、合一旦进入内网，横向移动几乎不受阻碍，一次失

法工具滥用等方式陷可导致全网影响

这四个变化共同导致了一个后果：可信内网与不可信外网的分界线消失了。攻击者只要获得一个有效凭据，

就可以像合法用户一样在内网自由活动。传统的边界防护不仅无法阻止这个过程，甚至完全看不到这个过程

——因为内网流量往往不做安全检查，也不做访问控制。

一个典型的内网失陷路径

员工终端因钓鱼邮件被植入恶意程序，攻击者从该终端提取浏览器保存的凭据，使用该凭据登录业务系统，通过

业务系统的数据库连接信息访问数据库，通过数据库所在服务器的配置信息发现其他系统地址，逐步扩展到核心

业务库。整个过程中，攻击者的行为在网络上看起来与合法用户无异，因为内网默认互信，没有任何环节要求重

新验证身份。

1.2零信任的定义与七条核心主张

零信任不是一种具体产品，也不是一套固定的技术方案，而是一种安全设计理念与相应的架构方法。它的核心

主张可以概括为一句话：不因资源位于内网或外网而给予默认信任，每一次访问请求都必须经过身份验

证、授权与持续评估。

这个主张可以展开为七条可操作的原则：

序号核心主张具体含义与落地要求

1网络位置不再代表信任访问请求无论来自办公网、家庭网络还是云端，都必须经过同样的身份验证与授权

流程。内网地址不再是免检凭证，不能仅凭来源地址放行。

2每次访问都要验证信任不是一次授予长期有效的状态，而是针对每一次访问请求重新判定。会话建立

后仍需持续评估，风险升高时动态调整权限。

3按最小权限授予访问访问权限限定在完成当前任务所必需的范围内，包括可访问的资源、可执行的动

作、可操作的数据范围，并具有明确的有效期限。

4基于多维度信息决策判定依据不只看身份，还包括设备健康状态、访问时间、来源位置、行为特征、数

据敏感级别等多个维度。

5假设网络已被攻陷设计防护方案时，假设攻击者可能已经在内网某处存在。在此基础上设计分段与检

测能力，限制单点失陷后的影响范围。

6先认证后连接资源默认不可见，未经身份验证的主体无法探测到资源的存在，也无法发起连接。

这改变了传统“先连接后认证”的模式。

7持续收集信号并改进持续采集访问日志、设备状态、告警事件等信号，用于优化策略、发现异常、验证

控制措施的有效性。

1.2.1零信任的三个实施层次

零信任的落地不是一步到位，通常经历三个层次。组织应当根据自身现状，明确当前所处的层次与下一步目

标。

层次核心特征典型能力适用阶段

基础层统一身份入口，强化认证强度统一身份目录、单点登录、多因素起步阶段，解决身份分散与弱认证

认证、账号生命周期管理问题

进阶层设备可信与应用级访问控制设备合规检查、应用代理访问、动身份基础扎实后，开始将设备与环

态授权、会话持续评估境因素纳入决策

成熟层网络微分段与数据级精细化控工作负载身份、东西向流量分段、身份与设备能力稳定后，向内部流

制数据分级访问、策略即代码量与数据层延伸

1.3零信任不等于什么：六种常见误解

在推动零信任项目时，最常见的阻力往往来自对概念的误解。以下六种理解需要纠正。

常见误解正确理解

零信任就是买一套零信任产品零信任是架构方法，不是单一产品。它需要身份、终端、网络、数据、策略多个层面的能力

协同，任何单一产品都只能覆盖其中一部分。

零信任就是把内网当作外网不是简单地取消内网信任，而是对内网与外网采用统一的验证逻辑。内网访问同样需要验证

身份与权限，但验证通过后仍可获得相应访问能力。

常见误解正确理解

零信任就是上多因素认证多因素认证是零信任的重要组成部分，但仅是身份维度的一项能力。零信任还包括设备信

任、网络分段、数据保护、持续评估等多个维度。

零信任会严重影响用户体验设计良好的零信任方案对用户体验的影响可以很小。通过单点登录、无口令认证、设备信任

状态缓存等机制，用户日常操作甚至比原来更顺畅。

零信任可以一次性改造完成零信任是持续演进的过程。业务系统在不断变化，策略需要持续调整。合理的做法是分阶段

推进，每阶段解决一类具体问题。

零信任意味着完全取消网络边边界依然存在，只是从单一的网络边界演变为围绕身份、设备、数据、应用的多个逻辑边

界界。网络分段本身也是零信任架构的重要组成部分。

1.4什么样的组织适合现在启动

零信任并非适合所有组织在所有阶段推进。以下情形表明组织已经具备启动条件，或存在迫切需求。

序号启动信号说明

1存在远程办公或分支机构访问需求员工需要在办公场所以外访问业务系统，传统的专线或虚拟专用网络

方案在体验与安全之间难以兼顾。

2业务系统已部分迁移至云环境业务分布在多个云或混合云环境，原有的网络边界防护无法覆盖新的

访问路径。

3账号数量多且权限难以说清存在大量历史账号、共享账号、长期未清理的权限，无法准确回答

“谁有权访问什么”这个基本问题。

4内部系统之间缺乏访问控制内网服务器之间可以自由互访，一台服务器失陷后可以轻易扩散到其

他系统。

5面临合规要求或客户审计需要向监管机构或客户证明具备访问控制、身份管理、数据保护方面

的能力。

6已发生过凭据泄露或内网渗透事件经历过因凭据泄露导致的安全事件，需要从根本上改变默认信任的架

构假设。

启动建议

如果组织满足上述任意两条及以上，建议启动零信任建设的规划工作。起步时不必追求覆盖全部范围，可以选择

一个业务系统、一类用户群体或一个访问场景作为试点，验证方法与效果后再逐步推广。试点的选择建议遵循

“高价值、低耦合、可衡量”三个标准。

1.4.1不建议立即启动的情形

基础身份信息混乱且无治理意愿。如果连账号清单、人员名册、系统清单都无法整理，任何架构建设都

缺乏基础。此时应先完成基础盘点，而非直接引入新架构。

业务系统处于大规模重构期。核心系统正在重构过程中，访问路径与接口会频繁变动，此时引入访问控制

策略会导致反复调整。建议重构完成或进入稳定期后再启动。

缺少明确的业务驱动与资源支持。零信任建设需要跨部门协作，涉及身份、终端、网络、应用多个团

队。如果仅由安全团队单方面推动且无资源支持，项目难以持续。

第二章零信任参考架构与组件职责

本章给出零信任架构的组件划分、访问判定流程与信任计算模型，帮助读者建立对整体架构的清晰认识，为后续

章节的具体设计提供框架依据。

2.1架构三大核心组件

零信任架构在逻辑上可以抽象为三个核心组件：策略引擎、策略管理员、策略执行点。三者与身份、设备、数

据、威胁情报等外部信息源共同构成完整的决策与执行链路。

组件核心职责输入信息输出结果

策略引擎（PE）接收访问请求，综合各类信息身份信息、设备状态、访问上下访问决策（允许/拒绝/附加

判定是否允许访问以及授予何文、数据分级、威胁情报、历史条件允许）、授权范围、会话有

种权限行为效期

策略管理员（PA）将决策结果转换为具体的控制策略引擎的决策结果、当前会话建立会话指令、撤销会话指令、

动作，建立或撤销访问通道状态、执行点反馈调整权限指令

策略执行点（PEP）位于访问路径上，实际执行放策略管理员下发的指令、当前流放行、阻断、要求补充验证、记

行、阻断、重定向等动作量特征录访问日志

2.1.1外部信息源

信息源提供的信息在决策中的作用

身份管理系统账号、角色、部门、岗位、权限申请记录判断主体身份真实性与基础权限范围

设备管理平台设备注册状态、补丁版本、磁盘加密状判断访问终端是否符合安全要求

态、防护软件运行状态

终端检测与响应系统终端上的异常进程、可疑行为告警作为风险信号，影响信任等级

威胁情报平台已知恶意地址、恶意域名、攻击特征判断访问来源是否存在已知风险

数据分类分级系统资源的数据敏感级别、所属业务类别决定所需的认证强度与授权条件

日志与审计平台历史访问记录、行为基线识别偏离基线的异常访问

安全运营平台当前告警级别、事件处置状态在安全事件期间临时提高访问门槛

2.2一次访问请求的完整判定流程

下面以“员工使用终端访问业务系统”为例，说明一次访问请求从发起到建立连接的完整流程。这个流程是零

信任架构的核心运行逻辑。

访问请求判定流程（共九步）

┌─────────────────────────────────────────────────────

─┐

│步骤1用户发起访问请求│

│用户在终端上访问业务系统，请求被终端侧执行点截获│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤2采集身份与设备信息│

│终端侧执行点收集当前用户身份凭据、设备标识、│

│设备健康状态，随请求一并提交│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤3策略引擎接收请求并聚合信息│

│策略引擎向身份系统、设备平台、威胁情报、│

│数据分级系统并行发起查询，聚合决策所需信息│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤4计算信任等级与风险分值│

│根据身份认证强度、设备合规度、来源风险、│

│行为偏离度等维度加权计算，得出当前信任等级│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤5匹配访问策略│

│根据主体属性、资源属性、动作属性、环境属性│

│匹配预先定义的策略规则│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤6输出访问决策│

│结果分为三类：允许、拒绝、附加条件允许│

│附加条件包括：要求补充多因素认证、限制访问时段、│

│降级为只读权限、缩短会话有效期等│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤7策略管理员建立访问通道│

│按决策结果建立加密通道，下发最小权限范围与会话│

│有效期，并将执行指令下发至对应执行点│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤8执行点放行并开始持续监测│

│执行点放行流量，同时持续采集会话期间的设备状态、│

│访问行为、异常信号│

└──────────────────────┬──────────────────────────────

─┘

▼

┌─────────────────────────────────────────────────────

─┐

│步骤9风险变化时动态调整│

│若风险信号升高（如设备脱离合规状态、出现异常│

│访问行为），策略引擎重新判定，执行点按新决策│

│阻断或降级当前会话│

└─────────────────────────────────────────────────────

─┘

流程设计的三个关键点

第一，步骤4与步骤5是可迭代的，同一个请求可能在会话期间被多次判定；第二，步骤6的“附加条件允

许”是零信任相较于传统访问控制的显著区别，它提供了在安全与体验之间取得平衡的空间；第三，步骤9是零

信任区别于一次性认证的关键，缺少持续评估的架构不能称为完整的零信任架构。

2.3信任算法与信任等级模型

信任等级是一个动态计算的综合分值，用于量化当前访问请求的可信程度。它不是绝对的安全判定，而是为策

略匹配提供输入。组织可根据自身情况调整维度与权重。

2.3.1信任计算的四个维度

维度考察内容典型取值示例说明

身份可信度认证方式强度、身份验证时高/中/低使用硬件密钥或通行密钥视为高；使用

效、账号状态动态口令视为中；仅使用口令视为低

设备可信度设备注册状态、系统补丁、磁合规/部分合规/不合规受管设备且全部检查项通过视为合规；

盘加密、防护软件状态受管但存在缺项视为部分合规

环境风险度来源网络类型、地理位置、访低风险/中风险/高风险来源地址位于高风险区域或使用匿名网

问时间、历史风险记录络服务时风险度升高

行为偏离度访问资源范围、访问频次、操正常/轻微偏离/显著偏短时间内访问大量非日常资源、非工作

作类型是否偏离历史基线离时段批量导出数据属于显著偏离

2.3.2信任等级与访问权限的对应关系

信任等级典型特征组合可访问资源范围附加约束

高强认证+合规设备+可访问职责范围内的全部资源，含会话有效期可放宽，敏感操作仍需二次

低风险环境+行为正常敏感级数据确认

中中强认证+部分合规设可访问一般业务资源，敏感资源需会话有效期缩短，禁止批量导出类操作

备或存在轻微行为偏补充验证

离

低弱认证或设备不合规仅可访问公开级资源与自助服务功强制补充认证，会话有效期极短，操作

或环境高风险能全程记录

拒绝身份验证失败或设备不可访问任何受保护资源阻断连接并触发安全告警，进入事件处

失陷告警或命中威胁置流程

情报

信任算法设计的注意事项

第一，权重设置应结合组织的实际风险偏好，而非照搬他人方案；第二，信任分值必须可解释，当决策被质疑时

能够说明是哪一项因素导致了降级；第三，算法本身应支持灰度调整，新增风险信号时先在观察模式下运行，确

认误报率可接受后再纳入正式计算。

2.4策略执行点的部署位置选择

策略执行点是实际拦截与放行流量的组件，其部署位置决定了零信任能够覆盖的访问场景。不同位置各有适用

场景，实际部署中往往需要多个执行点协同。

部署位置覆盖场景优势局限

终端侧员工终端发起的全部访问可采集设备健康状态，可在连接需要终端安装客户端，对终端类

建立前拦截型有限制

应用侧代理Web应用、接口服务的访问不依赖终端客户端，可精细到接需要改造应用接入方式，对非

口与字段级Web协议支持有限

网络侧网关跨区域、跨网络的访问部署位置集中，对应用透明，覆难以感知设备内部状态，粒度相

盖范围广对较粗

主机侧代理服务器之间的东西向访问可基于工作负载身份精细控制，需要在每台主机部署代理，运维

不依赖网络拓扑成本较高

云平台原生能力云上资源的访问与云环境天然集成，无需额外部跨云场景下策略难以统一

署

2.4.1执行点选择建议

先覆盖用户访问场景。用户访问业务系统是最常见的攻击面，也是零信任最容易见效的场景。建议优先在

终端侧与应用侧部署执行点。

再覆盖服务间访问场景。当用户访问场景稳定运行后，向数据中心内部延伸，使用主机侧代理或云平台能

力实现东西向流量的访问控制。

保持执行点策略的一致性。多个执行点应共享同一套策略定义，避免出现同一访问请求在不同执行点得到

不同判定结果的情况。

预留旁路与应急通道。执行点故障时应有明确的降级方案，避免因安全组件故障导致业务中断。降级方案

本身需经过安全评估。

2.5与现有安全能力的衔接关系

零信任架构不是对现有安全能力的替代，而是对它们的重新组织与协同。以下是常见安全能力在零信任架构中

的定位。

现有能力在零信任架构中的定位衔接要点

防火墙作为粗粒度分段与区域隔离的基础设施保留区域间的基础隔离能力，细粒度控制由微分段承

担

虚拟专用网络可作为过渡期的接入方式，逐步被应用过渡期内应在其后端增加访问控制，避免接入即获得

级访问替代全网访问能力

入侵检测与防护作为流量层的检测能力，为策略引擎提告警信息需接入策略引擎，用于动态调整信任等级

供风险信号

终端检测与响应作为设备可信度的主要数据来源终端告警应能实时影响访问决策，而非仅停留在告警

层面

安全信息与事件管理作为访问日志与安全事件的汇聚分析平访问决策日志需完整记录，支持事后追溯与策略优化

台

现有能力在零信任架构中的定位衔接要点

漏洞管理为设备与工作负载的可信度提供输入存在高危未修复漏洞的资产应降低信任等级或限制访

问范围

数据防泄漏作为数据层的最后一道控制与访问控制策略协同，对高敏感数据的操作进行内容

级检测

特权访问管理作为高权限访问的专用控制通道特权访问应纳入零信任决策流程，而非独立于架构之

外

衔接原则

现有能力应当作为零信任架构的组成部分被复用，而不是被推倒重建。评估现有能力时，