更务实的自托管安全路线是在操作系统或容器层面做网络隔离（如eBPF或iptables/nftables），配合凭证代理和短期令牌，代价是部署复杂度上升。