弥合「已配置」与「已执行」的差距，需要把验证从静态检查推进到运行时，例如定期用受控的测试请求确认防护是否真实拦截，以及把安全状态纳入可观测性体系。