系统设计模块之安全架构设计（身份认证与授权（OAuth2.0、JWT、RBAC/ABAC））

一、OAuth 2.0：开放授权框架

OAuth 2.0 是一种标准化的授权协议，允许第三方应用在用户授权下访问其资源，而无需直接暴露用户密码。其核心目标是分离身份验证与授权，提升安全性与灵活性。

角色划分：
- 资源所有者：用户（授权主体）。
- 客户端：第三方应用（请求资源）。
- 授权服务器：颁发令牌（如 OAuth 2.0 服务器）。
- 资源服务器：提供受保护资源（如 API）。
授权流程：
1. 授权码模式（推荐）：
  - 用户授权第三方应用 → 授权服务器返回授权码 → 客户端用授权码换取访问令牌（Access Token）。
  - 安全性高，适用于 Web 应用。
2. 隐式模式：
  - 用户直接授权并获取访问令牌，但令牌通过 URL 传递，存在泄露风险，适用于移动应用。

Spring Security OAuth2：通过配置 AuthorizationServerConfigurerAdapter 实现授权服务器，生成 JWT 作为访问令牌。
ASP.NET Core：集成 Add认证服务 注册 JWT Bearer 方案，支持多租户与跨域认证。

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在客户端与服务端之间安全传递声明（ Claims），支持无状态认证。

三部分组成：
- Header：声明类型（JWT）和加密算法（如 HS256）。
- Payload：包含用户身份、权限、过期时间（exp）等声明。
- Signature：通过密钥对 Header 和 Payload 签名，确保完整性。
认证流程：
1. 用户登录 → 服务端生成 JWT 并返回客户端。
2. 客户端携带 JWT 在请求头（Authorization: Bearer）中传递。
3. 服务端验证签名和声明，决定是否授权。

权限控制需确保用户仅能访问其角色或属性允许的资源，常见模型包括 RBAC 和 ABAC。

核心思想：通过角色关联用户与权限，降低配置复杂度。
实现步骤：
1. 定义权限（如菜单可见性、按钮操作）。
2. 创建角色并绑定权限（如“商家运营”角色包含商品管理权限）。
3. 为用户分配角色，前端根据权限码动态渲染界面。
优势：
- 灵活支持多角色组合，适用于企业级系统（如电商后台）。
问题：
- 角色过多可能导致管理混乱，需结合岗位或组织架构优化。

RBAC 系统设计：

// 角色-权限关联表
public class RolePermission {private Long roleId;private String permissionCode; // 如 "user:delete"
}
// 用户登录后查询权限码集合，前端动态过滤

OAuth 2.0 + JWT：
- 场景：前后端分离应用、跨域 API 服务。
- 流程：OAuth 2.0 授权码模式获取 JWT，作为后续请求的认证凭证。
- 工具链：Spring Security OAuth2（Java）、Passport.js（Node.js）。
RBAC + JWT 权限控制：
- 实现：JWT Payload 中携带角色列表，服务端或前端根据角色动态授权。
- 优化：结合 ABAC 处理复杂场景（如部门隔离数据）。
技术栈推荐：
- 后端：Node.js + Express.js（Passport.js）、Java + Spring Security。
- 前端：React/Vue.js 动态渲染权限相关 UI。