clawdbot gateway token 鉴权机制的设计与高并发优化实践

1次阅读

没有评论

共计 2776 个字符，预计需要花费 7 分钟才能阅读完成。

在分布式系统中，API Gateway 作为流量的入口，承担着鉴权的重任。传统的鉴权方案通常采用数据库验证 token 的方式，这种方案在高并发场景下会面临以下问题：

数据库压力大：每个请求都需要查询数据库验证 token，导致数据库成为性能瓶颈
网络延迟高：数据库查询需要跨网络，增加了请求的响应时间
扩展性差：随着用户量增长，数据库难以水平扩展

为了解决上述问题，我们对比了几种常见的鉴权方案：

OAuth2.0
优点：标准化协议，支持多种授权模式
缺点：实现复杂，不适合内部服务鉴权
自定义 Token
优点：实现简单，完全可控
缺点：安全性难以保证，缺乏标准化
JWT + Redis
优点：无状态、可扩展、性能高
缺点：token 一旦签发无法撤销（可通过 Redis 缓存解决）

综合考虑后，我们选择了 JWT + Redis 的组合方案。JWT 提供无状态验证，Redis 缓存解决 token 撤销问题，同时提供高性能的验证能力。

以下是使用 Go 1.21 实现的 JWT 生成和验证代码：

package auth

import (
    "crypto/hmac"
    "crypto/sha256"
    "encoding/base64"
    "encoding/json"
    "errors"
    "fmt"
    "strings"
    "time"

    "github.com/google/uuid"
)

type Claims struct {
    UserID    string `json:"uid"`
    IssuedAt  int64  `json:"iat"`
    ExpiresAt int64  `json:"exp"`
    TokenID   string `json:"jti"`
}

func GenerateToken(secret []byte, userID string, ttl time.Duration) (string, error) {now := time.Now().Unix()
    claims := Claims{
        UserID:    userID,
        IssuedAt:  now,
        ExpiresAt: now + int64(ttl.Seconds()),
        TokenID:   uuid.New().String(),
    }

    header := base64.RawURLEncoding.EncodeToString([]byte(`{"alg":"HS256","typ":"JWT"}`))
    payload, err := json.Marshal(claims)
    if err != nil {return "", fmt.Errorf("marshal claims failed: %w", err)
    }
    payloadEncoded := base64.RawURLEncoding.EncodeToString(payload)

    signingInput := fmt.Sprintf("%s.%s", header, payloadEncoded)
    h := hmac.New(sha256.New, secret)
    h.Write([]byte(signingInput))
    signature := base64.RawURLEncoding.EncodeToString(h.Sum(nil))

    return fmt.Sprintf("%s.%s.%s", header, payloadEncoded, signature), nil
}

func VerifyToken(secret []byte, token string) (*Claims, error) {parts := strings.Split(token, ".")
    if len(parts) != 3 {return nil, errors.New("invalid token format")
    }

    h := hmac.New(sha256.New, secret)
    h.Write([]byte(fmt.Sprintf("%s.%s", parts[0], parts[1])))
    signature := base64.RawURLEncoding.EncodeToString(h.Sum(nil))
    if signature != parts[2] {return nil, errors.New("invalid signature")
    }

    payload, err := base64.RawURLEncoding.DecodeString(parts[1])
    if err != nil {return nil, fmt.Errorf("decode payload failed: %w", err)
    }

    var claims Claims
    if err := json.Unmarshal(payload, &claims); err != nil {return nil, fmt.Errorf("unmarshal claims failed: %w", err)
    }

    if time.Now().Unix() > claims.ExpiresAt {return nil, errors.New("token expired")
    }

    return &claims, nil
}

我们使用 Redis 缓存有效的 token 和用户信息，设计如下策略：