记录牧安平台从 0 到 1 的开发过程，一个待业在家的网安老兵边做边想。

我干安全运营十年，"探针"这词在我心里一直是个黑盒子——塞进机房，网线一插，日志吐上来。至于盒子里跑了什么，我没细想过，也用不着细想。

直到自己在家写牧安的 L3 探针，才发现连"前面那个网页后台"都很克制：Web 框架是 Python 标准库自带的 

，数据库是本地 SQLite，第三方依赖一只手数得过来。

这期不聊页面长啥样，也不念功能清单。我想聊的是：

当初我是怎么把它拆成一堆模块的，又为什么这么拆。

 一个不懂架构的人凭感觉写，最容易翻车的不是代码报错，而是"这段该放哪"这个念头第一次冒出来的时候。

一、先回答最大疑问：为什么不用微服务？

这个选择放在 2026 年听起来有点"土"。但牧安的探针是塞进小客户机房的，你不能假设现场有 Docker、能联网拉镜像、有运维盯着。对"正在出事的小客户"来说，

，比"架构图好看"重要一百倍。

单体意味着：一台干净机器装上 Python，把 

 丢过去，8802 端口就起来了。代价是没法水平扩展——但对这个定位，扩展性根本不是瓶颈。

这点我想得不算早，是第 12 期踩的那些坑逼出来的。

二、模块怎么切？import 语句就是架构图

很多人以为看架构要画 UML。在这个项目里，

 顶部的 import 就是一张现成的架构图：

# 升级import agent_bundle# 注册包解密

边界是 Python 模块，不是一个进程一个服务

。每个模块就是一个"虚拟同事"，职责分不清楚，后面就全搅在一起。我当初就是先想清楚这四层，才动笔写的——虽然想得不透，第七节那几笔债就是证据。

三、运行时：main 里挂了一串 daemon 线程

分层是静态的。真正让一个进程"同时干多件事"的，是 

HTTP 服务线程不被任何重活阻塞

，采集、上报、自保各跑各的 daemon 线程。这就是"一个进程干多件事"的实现方式。

？因为主进程一旦退出，这些线程要跟着走，

。客户打电话来说"没告警了"，你登上去发现进程三天前就死了——这种静默趴窝，比功能少更可怕。

四、数据流才是脊梁，页面只是窗口

真正串起整个系统的，不是手册里那 6 个页面，而是这条管道：

采集(probe) → 检测(engine) → 落库(db) → 研判(ai_client) → 调度/聚合(scheduler) → 集成(outbox + command_poll)

 里那 17 张表，就是这条管道上各个节点的"状态容器"，按域聚成几坨：

所以页面只是管道的窗口。哪天想多加一个页面，改的是窗口，不是架构。

架构围着数据流走，不围着界面走。

 写之前没想明白这一点，加功能就是往代码里糊泥。

五、集成：信箱模式 + PULL，被部署环境逼出来的

，同步 RPC 一断就丢。信箱模式让断网时数据在本地攒着，网络通了再推——这是探针"扛得住"的架构根。

而且 L3 往往躲在 NAT 后面，L2 推不过去。所以指令改由 L3 主动来 

。这种"上报用推、下发用拉"的非对称设计，不是我从书里抄的，是部署环境逼出来的。

六、双形态：同一份代码，两种脸

手册里写着，"探针/会话/行为"这仨菜单只在 Linux 下显示。这容易被当成"产品凑功能"，其实它是架构上的一条

。架构上留的是"能力探测"的岔路，而不是维护两套代码库。

 必须延迟导入、不能顶层 import 把 Windows 版带崩，也是这条纪律的产物。双形态是约束，不是特性；架构得为约束留缝。

七、自保：横切关注点，不是功能页

 跑在请求路径之外，定时做三件事：写前快照 + 每 8 小时归档的备份、盯自己的 CPU/磁盘/丢包、保活拉起。

这是架构上的"横切关注点"：所有业务模块都依赖它，但它不属于任何一条业务。一个小盒子扔进机房没人盯，

——不能等业务请求来了才想起来备份、才发现进程死了。

它和采集、检测是平等的"线程公民"，只是不抛头露面。

九、所以，一个探针里到底装了什么？

这么多线程挤在一个进程里，最怕的不是功能少，是它哪天

——客户打电话来说"没告警了"，你登上去发现进程三天前就死了。

下一期（第 14 期）就聊这个：一个探针里还能装什么。现在能跑的已经是满血版了吗？哪些空白和坑早晚得补，我顺着架构接着往下捋。

你在做安全产品时，有没有遇到过"为了架构好看而牺牲现场可跑性"的时候？

欢迎在评论区说说，我看看是不是只有我一个人踩过这种坑。

AI开发牧安 ·第13期 我用了十年的黑盒子，里面是什么

我干安全运营十年，"探针"这词在我心里一直是个黑盒子——塞进机房，网线一插，日志吐上来。至于盒子里跑了什么，我没细想过。

人工智能

安全

架构设计

牧安平台L3探针从0到1开发实录：单体多线程架构、四层模块划分、信箱模式集成、双形态能力探测与自保设计。基于十年安全运营经验，详解探针内部结构、数据流管道与架构决策，为安全产品开发提供实战参考。

数据管道

数据库

数据流

Windows

容器

路由

SQLite

Python

Linux

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

AI开发牧安 ·第13期我用了十年的黑盒子，里面是什么

AI开发牧安 ·第13期我用了十年的黑盒子，里面是什么

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

AI开发牧安 ·第13期 我用了十年的黑盒子，里面是什么

AI开发牧安 ·第13期 我用了十年的黑盒子，里面是什么

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

AI开发牧安 ·第13期我用了十年的黑盒子，里面是什么

AI开发牧安 ·第13期我用了十年的黑盒子，里面是什么