Agent Token 入门指南：从基础概念到实战应用

1次阅读

共计 2441 个字符，预计需要花费 7 分钟才能阅读完成。

想象你正在搭建一个微服务架构的电商系统：

场景 1 ：订单服务需要调用库存服务接口扣减库存。如果使用传统 API Key，一旦 Key 泄露，攻击者可以伪装成订单服务无限调用接口
场景 2 ：CI/CD 流水线中的部署脚本需要访问 Kubernetes 集群。若使用长期有效的静态凭证，员工离职后仍可能通过历史脚本获取访问权限

这些场景暴露了传统认证方式的致命缺陷——缺乏身份上下文 和不可控的生命周期。这正是 Agent Token 要解决的问题。

方案	安全性	适用场景	典型生命周期
API Key	★★☆	简单脚本调用	数月 - 数年
JWT	★★★	用户会话管理	分钟 - 小时
Agent Token	★★★★	服务间通信 / 自动化流程	秒 - 小时

关键差异：

API Key像万能钥匙，谁持有谁就有全部权限
JWT包含用户身份但无法主动撤销
Agent Token专为机器身份设计，支持细粒度权限和短期有效

import hmac
import time
from hashlib import sha256

# 建议从安全存储系统读取
SECRET_KEY = b'your_256bit_secret'

def generate_token(agent_id: str, permissions: list) -> str:
    """
    生成 Agent Token
    :param agent_id: 代理唯一标识
    :param permissions: 权限列表如['read:inventory', 'write:orders']
    :return: base64 编码的 Token
    """
    # 1. 组装有效载荷（建议包含时间戳防重放）timestamp = int(time.time())
    payload = f"{agent_id}|{','.join(permissions)}|{timestamp}"

    # 2. 计算 HMAC 签名（TTL 建议不超过 1 小时）signature = hmac.new(SECRET_KEY, payload.encode(), sha256).hexdigest()

    # 3. 组合成完整 Token
    return f"{payload}|{signature}"

# 使用示例
try:
    token = generate_token("order_service", ["write:inventory"])
    print(f"Generated Token: {token}")
except Exception as e:
    print(f"Token generation failed: {str(e)}")

package main

import (
    "crypto/hmac"
    "crypto/sha256"
    "errors"
    "strings"
    "time"
)

const tokenTTL = 3600 // 1 小时有效期

func validateToken(token string) (string, error) {parts := strings.Split(token, "|")
    if len(parts) != 4 {return "", errors.New("invalid token format")
    }

    // 1. 检查时间戳有效期
    timestamp, err := time.Parse(time.UnixDate, parts[2])
    if err != nil {return "", errors.New("invalid timestamp")
    }
    if time.Since(timestamp) > time.Second*tokenTTL {return "", errors.New("token expired")
    }

    // 2. 验证签名
    payload := strings.Join(parts[:3], "|")
    expectedSig := computeHMAC(payload)
    if !hmac.Equal([]byte(parts[3]), []byte(expectedSig)) {return "", errors.New("invalid signature")
    }

    return parts[0], nil // 返回 agent_id
}

func computeHMAC(payload string) string {mac := hmac.New(sha256.New, []byte("your_256bit_secret"))
    mac.Write([]byte(payload))
    return mac.Sum(nil)
}

内存缓存：适合单实例服务，重启失效
优点：零延迟
缺点：无法跨节点共享
Redis 集群：分布式系统首选
建议设置 EXPIRE 与 Token TTL 一致
启用 TLS 加密传输

在 payload 中添加 nonce 随机数
服务端维护已使用 nonce 的短期缓存
结合时间戳拒绝过期请求

采用双密钥机制（active/standby）
通过环境变量动态注入密钥
使用 Hashicorp Vault 等工具自动化轮换

# metrics 示例
metrics:
  - name: agent_token_requests_total
    type: counter
    labels: [agent_id, status_code]
    help: "Total agent token auth requests"

  - name: agent_token_ttl_seconds
    type: gauge
    labels: [agent_id]
    help: "Remaining TTL of active tokens"