CI/CD 的权限模型经过多年演化，形成了分层实践：流水线默认只能读取代码，部署到生产环境需要额外凭证授权，敏感操作要求人工审批或双人复核。