从原理到实践：深度解析authorization与token的核心区别及最佳应用场景

1次阅读

共计 2254 个字符，预计需要花费 6 分钟才能阅读完成。

HTTP 协议中，Authorization是请求头字段，携带凭证信息（如 Basic Auth 或 Bearer Token），而 Token 是独立颁发的验证凭据。RFC 6750 明确定义：

Authorization: Bearer <token> 是标准传输方式
Token 必须通过安全通道传输（如 HTTPS）

协议头示例对比：

# 错误示范
GET /api/user HTTP/1.1
Token: eyJhbGciOiJIUzI1NiIs...

# 标准实现
GET /api/user HTTP/1.1
Authorization: Bearer eyJhbGciOiJIUzI1NiIs...

Token 误作权限判断
直接解析 JWT claims 进行权限验证，忽略服务端状态检查
风险：已注销 token 仍可访问
JWT 无有效期控制
未设置 exp 字段或 refresh 机制
案例：某电商平台遭重放攻击，损失百万
敏感操作仅依赖 Token
转账等高危操作未做二次授权
违反 PCI-DSS 8.2.3 条款

客户端获取 authorization code（RFC6749 §4.1）
用 code 交换 access token
资源服务器验证 token 签名及 scope

关键点：
– authorization code 生命周期≤10 分钟
– access token 建议有效期≤1 小时

HS256 vs RS256 对比：
| 维度 | HS256 | RS256 |
|————|———————|———————|
| 性能 | 快（单密钥）| 慢（公私钥对）|
| 安全性 | 依赖密钥保管 | 私钥不出服务器 |
| 适用场景 | 内部微服务通信 | 开放 API 对接 |

@PreAuthorize("hasAuthority('ROLE_ADMIN')")
@GetMapping("/admin")
public ResponseEntity<?> adminEndpoint() {// 方法自动进行权限检查}

public class JwtUtil {
    // 密钥轮换示例
    private static final Map<String, SecretKey> KEY_ROTATION = new ConcurrentHashMap<>();

    public static String generateToken(String subject, Duration validity) {
        // 防御性检查
        if (validity.toMinutes() > 1440) {throw new IllegalArgumentException("Token 有效期超过 24 小时");
        }

        return Jwts.builder()
            .setSubject(subject)
            .setExpiration(new Date(System.currentTimeMillis() + validity.toMillis()))
            .signWith(getCurrentKey(), SignatureAlgorithm.HS256)
            .compact();}
}

public class AuthInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {String token = extractToken(request);
        Claims claims = JwtUtil.parseToken(token);

        // 检查 Redis 黑名单
        if (redisTemplate.opsForValue().get("revoked:" + claims.getId()) != null) {throw new TokenRevokedException();
        }

        request.setAttribute("currentUser", claims.getSubject());
        return true;
    }
}

方案	优点	缺点	QPS 基准（4 核 8G）
Redis	支持分布式失效	网络延迟增加	12,000
内存	纳秒级响应	单点失效风险	450,000

采用 sticky session 负载均衡
关键状态写入分布式缓存
实现 CAS（Check-And-Set）操作

// Nonce 检查示例
public void validateNonce(String nonce) {if (redisTemplate.opsForValue().setIfAbsent("nonce:" + nonce, "1", 5, TimeUnit.MINUTES) == Boolean.FALSE) {throw new ReplayAttackException();
    }
}