题目重点：围绕题目列出的认证、授权、数据流、网关、限流、虚拟节点和 Edge，设计隔离浏览与审计架构。
题意与假设
这道练习题保留了面经中值得训练的核心约束，并将需要澄清的条件单独列出。现场拿到变体时，先和面试官确认这些条件。
- 员工在本地终端访问企业管理的隔离浏览器会话；不可信网页代码只在远端短生命周期环境执行。
- 默认传回渲染画面与受控输入事件；是否允许 DOM 重构或文件下载需按企业策略确认。
- 目标是降低终端受恶意网页影响的风险，不声称隔离能消除钓鱼、凭据滥用等所有攻击。
解题路线
- 入口先通过企业身份提供商验证用户，再按用户、设备姿态、访问目标与策略版本授权；网关把每个请求绑定会话 ID、租户和审计上下文。
- 会话调度器将用户分配到就近区域的隔离浏览器节点，使用进程/容器/微虚拟机隔离租户，并限制网络出口和访问内网地址；节点复用前彻底清理状态。
- 客户端输入事件经受控通道到远端，画面或受限 DOM 数据经加密流回边缘；剪贴板、文件上传下载、打印和重定向各要独立策略检查。
- 网关限流按用户、租户、会话和目标域区分；边缘终止连接、处理就近路由和重连，核心控制面维护策略与会话生命周期。
- 审计记录策略决策、目标 URL、会话起止、阻断和文件动作；敏感画面或凭据不能默认全量保留。故障时禁用不安全直连回退，并给明确的不可用状态。
手动走一遍
员工点击未知链接：网关验证身份与设备，策略允许后启动远端隔离浏览器；网页脚本在远端运行，客户端接收画面。若用户点击下载，服务先按策略扫描文件并决定是否放行，而非从浏览器节点直接回传。
规模与取舍
并发会话 S 若每会话平均消耗 M 内存和 B 带宽，节点资源约 O(SM)、流量约 O(SB)；启动冷延迟、节点池预热和每租户配额决定容量。策略查询路径需满足每次导航的时延预算。
易错点与追问
容易失分的边界
- 只把浏览器放远端，却让任意网页直接访问内部网络。
- 认证通过后不再做每次目标 URL 与文件动作授权。
- 流媒体断线后自动直连原网页，绕过隔离策略。
- 忽略租户间缓存、剪贴板和浏览器状态泄漏。
继续深挖
- 如何在低带宽环境下降低画面流量并保持可用交互延迟？
- 若恶意网页尝试访问云元数据服务或内网 IP，哪些层应阻断？
- 多区域故障迁移时浏览器会话状态和审计日志如何处理？
