深入解析All in Token架构：从原理到生产环境实践

1次阅读

没有评论

共计 2985 个字符，预计需要花费 8 分钟才能阅读完成。

在单体应用时代，身份验证和授权相对简单，通常使用 Session 机制即可满足需求。但随着微服务架构的普及，系统被拆分成多个独立的服务，每个服务都需要验证用户身份和权限，传统的 Session 机制面临着诸多挑战。

状态管理难题 ：Session 通常存储在服务端，在分布式环境下难以共享
跨域问题 ：不同服务可能部署在不同域名下，Cookie 存在跨域限制
扩展性瓶颈 ：集中式 Session 存储可能成为系统性能瓶颈
开发复杂度 ：每个服务都需要实现独立的认证逻辑，增加开发成本

服务端存储会话状态
通过 Cookie 传递 Session ID
优点：服务端可主动控制会话生命周期
缺点：不适合分布式系统，存在 CSRF 风险

自包含的 JSON 格式令牌
包含签名，可验证完整性
优点：无状态，适合分布式系统
缺点：令牌无法主动失效，可能存在安全问题

融合了用户身份、权限和会话状态的超级令牌
服务端可验证但无需存储
优点：
简化微服务间的安全交互
减少权限校验的远程调用
支持细粒度的访问控制
缺点：
令牌体积较大
需要精心设计令牌结构

用户通过认证服务登录
系统收集用户身份和权限信息
将这些信息结构化并签名
生成包含所有必要信息的令牌

服务收到请求，从 Header 提取令牌
验证签名有效性
解析令牌内容
检查令牌有效期
根据令牌中的权限信息进行授权

客户端在令牌即将过期时请求刷新
服务端验证刷新令牌的有效性
生成新的访问令牌
可选地使旧令牌立即失效

@Configuration
@EnableWebSecurity
public class AllInTokenSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .authorizeRequests()
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .addFilter(new AllInTokenAuthenticationFilter(authenticationManager()));
    }

    @Bean
    public PasswordEncoder passwordEncoder() {return new BCryptPasswordEncoder();
    }
}

public class AllInTokenAuthenticationFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                   HttpServletResponse response, 
                                   FilterChain filterChain) throws ServletException, IOException {String token = resolveToken(request);
        if (StringUtils.hasText(token) && validateToken(token)) {Authentication authentication = getAuthentication(token);
            SecurityContextHolder.getContext().setAuthentication(authentication);
        }
        filterChain.doFilter(request, response);
    }

    private String resolveToken(HttpServletRequest request) {String bearerToken = request.getHeader("Authorization");
        if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer")) {return bearerToken.substring(7);
        }
        return null;
    }

    private boolean validateToken(String token) {
        // 实现令牌验证逻辑
        // 包括签名验证、过期时间检查等
        return true;
    }

    private Authentication getAuthentication(String token) {
        // 从令牌中提取用户信息和权限
        // 构建 Authentication 对象
        return null;
    }
}

All in Token 由于包含了丰富的用户信息和权限数据，其体积通常会比普通 JWT 大。这会对系统性能产生多方面影响：