身份认证

OAuth 2.0（Open Authorization）是一个开放标准，定义了一套授权流程，允许用户（资源所有者）授权第三方应用访问他们在另一个服务提供者（授权服务器）上的受保护资源（资源服务器），而无需将自己的用户名和密码直接提供给第三方应用。它主要解决的是委托授权的问题，即“我授权应用A去访问我在服务B上的某些数据”。 核心区分：OAuth 2.0 是一个授权（Authorization）框架，而不是用来做认证（Authentication）。尽管它常常与认证机制（如 OpenID Connect）结合使用，但其核心职责是授予对资源的访问权限，而非验证用户身份。 一、OAuth 2.0 产生的背景与解决的问题在 OAuth 出现之前，如果一个第三方应用需要访问用户在其他服务（如 Google 相册、GitHub 代码库）上的数据，用户通常需要将自己的账号密码直接告知第三方应用。这种做法带来了严重的安全和便捷性问题： 凭据泄露风险：第三方应用一旦被攻破，或恶意使用，用户的完整凭据就会泄露，导致所有关联服务面临风险。 权限过大：第三方应用获得的是用户的完全控制权，无法...

在现代 Web 和移动应用中，基于 Token 的认证方式（如 JWT）已成为主流。它解决了传统 Session-Cookie 认证在分布式系统和跨域场景下的诸多痛点。然而，Token 的有效期问题又带来了新的挑战：如果 Access Token 长期有效，一旦泄露风险巨大；如果短期有效，用户又会频繁因 Token 过期而被迫重新登录，严重影响用户体验。无感刷新 Token (Silent Token Refresh) 正是为了解决这一矛盾而生，它旨在提升安全性、兼顾用户体验，让用户在不感知的情况下，始终保持登录状态。 “无感刷新 Token 的核心思想是：使用一个短期有效的 Access Token 负责日常业务访问，同时使用一个长期有效但受严密保护的 Refresh Token 来在 Access Token 过期时重新获取新的 Access Token，从而实现长期登录且不牺牲安全性的目标。” 一、为什么需要无感刷新 Token？在基于 Token 的认证系统中，通常会涉及到两种 Token： Access Token (访问令牌)： 用途：用于访问受保护的资源...

JWT (JSON Web Token) 是一个开放标准 (RFC 7519)，它定义了一种简洁、自包含且安全的方式，用于在各方之间安全地传输信息。这些信息通过数字签名进行验证，可以被信任。JWT 通常用作无状态 (Stateless) 认证机制，替代传统的 Session-Cookie 模式。 核心思想：将用户认证信息和少量授权信息编码进 Token 本身，并通过签名确保其不可篡改。 服务端无需存储 Session 状态，只需验证 Token 即可。 一、为什么需要 JWT？传统的基于 Session-Cookie 的认证方式有其局限性： 有状态 (Stateful)：服务端需要存储每个用户的 Session 信息。随着用户量增加，存储和管理 Session 成为负担，特别是分布式部署和微服务架构下，Session 共享和同步变得复杂。 跨域问题：Cookie 默认是同源策略，跨域请求携带 Cookie 会比较复杂，需要复杂的 CORS (Cross-Origin Resource Sharing) 配置。 移动端不友好：移动应用通常不依赖 Cookie，需要更灵活的...

SAML (Security Assertion Markup Language) 是一种基于 XML 的开放标准，用于在安全域之间交换身份验证和授权数据。它主要用于实现单一登录 (Single Sign-On, SSO) 功能，允许用户在一个身份验证服务器（Identity Provider, IdP）上登录一次后，即可访问多个服务提供商 (Service Provider, SP) 上的应用程序，而无需在每个应用程序上重新输入凭据。SAML 2.0 是当前最广泛使用的版本。 核心思想：将用户身份验证的职责从各个服务提供商剥离到专门的身份提供商，通过可信的 XML 断言 (Assertion) 在两者之间传递身份和授权信息。 一、为什么需要 SAML？随着企业和组织越来越多地使用 SaaS (Software as a Service) 应用和跨域资源，用户常常需要在多个独立的应用程序中重复登录，这不仅降低了用户体验，也增加了密码管理的负担和安全风险。传统的做法是每个应用程序维护自己的用户数据库和认证机制。 SAML 旨在解决这些问题，它提供了一种联邦身份 (Feder...