2. Level2行情接口授权核验概述

在Level2行情系统的接入过程中，很多团队会把注意力集中在“能不能收到数据”上，而忽略了“收到的数据是否被合法授权、是否被正确授权”。授权核验（Authorization Verification）正是解决后一个问题的环节：它在行情链路建立前后，确认客户端身份、权限范围、授权有效期与数据使用边界是否与合同或授权文件一致，从而保证系统只消费被允许的行情内容，并在异常时能够及时阻断或降级。

一、授权核验要达成的目标

授权核验不是单一动作，而是一组可验证的目标集合。结合Level2行情的业务特点，通常包括以下几个层面：

• 身份可信：确认发起连接的客户端确实持有有效的用户标识与凭证，防止凭证被复制、冒用或过期后继续使用。
• 权限匹配：确认该身份被授予的行情范围（如沪深Level2十档、逐笔委托、逐笔成交、委托队列等）与实际订阅的频道一致，避免越权订阅。
• 时效有效：授权通常有起止时间，核验需要判断当前时刻是否落在有效期内，并对临近到期给出预警。
• 并发与终端约束：许多授权按终端数、并发连接数或IP白名单限制使用，核验需要能识别超限行为。
• 可审计：每一次核验的结果、失败原因、关联身份与时间都应留痕，便于事后追溯与对账。

这五个目标决定了核验不能只在登录时做一次，而应贯穿“连接建立—订阅请求—数据消费—会话续期”的整个过程。

二、常见风险场景

理解风险场景，才能设计出有针对性的核验点。实际工程中较典型的情况包括：

• 凭证过期仍在使用：客户端缓存了旧令牌，未在到期前刷新，导致订阅被拒或数据中断。
• 越权订阅：账号只授权了Level2十档，却尝试订阅逐笔委托频道，若服务端未校验频道与权限的映射，就会产生越权数据流。
• 凭证共享与多终端超限：同一账号在多个终端同时登录，超出授权终端数，造成授权资源被挤占。
• IP或环境漂移：授权绑定了出口IP白名单，客户端网络切换后IP变化，核验失败但错误信息不明确，排查困难。
• 时间不同步：客户端本地时间与授权服务器时间偏差较大，导致有效期判断出现“误判过期”或“误判有效”。
• 降级逻辑缺失：核验失败后系统直接崩溃或静默丢数据，没有明确的降级与告警路径。

三、整体技术框架

一个可落地的授权核验框架，通常由四部分组成：授权数据源、核验服务、行情接入网关与审计告警。授权数据源保存账号、权限范围、有效期、终端数与IP白名单等元数据；核验服务对外提供“校验凭证+校验权限+校验时效”的接口；行情接入网关在连接建立和订阅请求两个关键点调用核验服务；审计告警则把核验结果写入日志并对异常触发通知。

下面的示意图展示了这一框架中各组件的协作关系与核验发生的两个关键位置：

从图中可以看到，核验服务并不直接处理行情数据，它只负责“判断是否允许”，而行情接入网关负责“执行判断结果”。这种职责分离的好处是：授权规则变化时只需调整核验服务与授权数据源，不必改动行情转发逻辑；同时，核验结果统一上报审计，便于形成完整的授权使用记录。

四、核验判定的基本逻辑与示例

把上述目标落到一次具体的订阅请求上，判定逻辑可以表达为一组条件的合取。以下是一个示例性的判定伪代码，用于说明各条件之间的关系，参数均为教学示例值：

// 示例：订阅请求核验（参数为教学示例，非实测数据）
verify(request):
    token   = request.token
    channel = request.channel        // 例如 "L2_ORDER_QUEUE"
    now     = server_time()          // 以服务端时间为准

    if not token.valid:              return REJECT("凭证无效")
    if now < token.not_before
       or now > token.not_after:     return REJECT("授权不在有效期")
    if channel not in token.channels:return REJECT("频道越权")
    if active_terminals(token.user)
       >= token.max_terminals:       return REJECT("终端数超限")
    if request.ip not in token.ip_whitelist:
                                     return REJECT("IP不在白名单")

    return ALLOW

这段逻辑有两个值得注意的工程细节。第一，时间判断统一使用服务端时间，避免客户端本地时钟偏差带来的误判；如果客户端需要展示剩余有效期，应通过服务端下发的剩余秒数换算，而不是自行用本地时间减。第二，失败原因应返回明确的错误码而非笼统的“认证失败”，例如“频道越权”与“终端数超限”对应的处置动作完全不同，前者需要调整授权范围，后者需要排查是否存在多终端共享。

五、落地时的几个关键取舍

在真实系统中，核验框架还需要做几项取舍。其一是核验时机：只在连接建立时核验成本最低，但无法覆盖会话中途权限变更；在每个订阅请求上核验更严格，但会增加调用开销。较常见的做法是连接建立时做完整核验，订阅请求时做轻量核验（校验频道与缓存权限），并设置定期续期核验。其二是缓存策略：授权元数据变化不频繁，可在核验服务侧做短时缓存以降低数据源压力，但缓存过期时间应小于授权变更的容忍窗口。其三是失败处置：对于时效类失败应支持刷新凭证后重试，对于越权类失败应直接拒绝并告警，两类路径需要在网关中分别实现，不能混为一谈。

总体而言，Level2行情接口授权核验的核心，是把“谁、在什么时间、用什么身份、订阅什么内容、是否在允许范围内”这几个问题，转化为可执行、可观测、可追溯的判定流程。只有把核验点、判定条件和失败处置设计清楚，后续的接口对接与联调才有稳定的基础。