双层混合架构
现代工程组织需要两者 气隙环境中的零依赖执行 和 立即防范新发布的零日漏洞。 BlackShield 通过两层架构解决了这种紧张关系：
第 1 层：嵌入式基线
气隙和断开安全
每个扫描器二进制文件和设备容器都附带编译的漏洞数据库和攻击签名。断开连接的构建环境、隔离的 VPC 和本地 CLI 运行无需外部调用或凭据即可执行。
第 2 层：实时刷新引擎
即时零日检索
当针对 BlackShield 控制平面进行身份验证时，扫描仪和设备使用以下命令发出条件 HTTP 请求 If-None-Match 标头。更新的定义以原子方式缓存在磁盘上并热重新加载，无需重新启动容器。
管道和VM扫描仪集成
BlackShield Pipeline Scanner 在 SCA 和 SBOM 分析期间检查实时建议。如果存在新的 CVE，它们会与内置数据库无缝合并：
# 标准运行，自动动态 CVE 刷新：
管道扫描器 --api-url=https://api.blackshield.chaplau.com --api-key=$API_KEY --scan-tool=vuln
# Airgapped 运行禁用出站 feed 同步：
管道扫描器 --disable-feed-refresh --scan-tool=vuln
故障安全缓存保证
如果控制平面无法访问或遇到网络超时，扫描程序将回退到本地磁盘缓存。如果不存在缓存，则默认使用嵌入式数据库。 网络故障永远不会导致生产构建失败。
应用WAF热重载
BlackShield 应用设备根据精心策划的 SQL 注入、XSS、SSRF、RCE 和 SSTI 签名持续评估 HTTP 流量。在后台轮询循环中：
- 条件轮询： 问题
GET /api/v1/signatures/waf与当前的 ETag。 304 响应消耗最少的网络带宽。 - 零停机热重载： 正则表达式模式在内存中编译，并在读写器锁下自动交换，以防止连接丢失。
- 统一政策面： 将托管攻击特征、动态虚拟补丁和威胁情报阻止列表指标合并到统一的评估管道中。
分发源端点
| 端点 | 目标消费者 | 缓存机制 |
|---|---|---|
| 获取 /api/v1/signatures/advisories | 管道和虚拟机扫描仪 | ETag、If-None-Match、最大年龄=300 |
| 获取 /api/v1/signatures/waf | 应用WAF设备 | ETag、If-None-Match、最大年龄=300 |
| 获取/api/v1/签名/状态 | 监控与遥测 | ETag、If-None-Match、最大年龄=60 |