威胁建模中应显式列出“平台隔离失效”这一假设，并评估应用层加密、租户级密钥管理以及最小权限原则能否在平台层失守时提供额外防线。