📚 课程目录第3章权限校验核心流程

3、权限校验核心流程：请求拦截、Token解析、角色/权限匹配、决策与响应

权限校验是企业业务系统的第一道安全防线，其核心流程决定了系统能否准确识别用户身份、判定访问合法性并做出正确响应。本章将拆解权限校验的四个关键阶段：请求拦截、Token解析、角色/权限匹配、决策与响应，并针对每个阶段梳理测试要点与常见失败场景。

3.1 权限校验四阶段总览

完整的权限校验流程可抽象为以下四个连续阶段，每个阶段都有明确的输入、处理逻辑和输出，任一环节出现异常都会导致校验失败。

阶段	输入	核心处理	输出	典型失败原因
请求拦截	HTTP请求（URL、Header、Method）	匹配拦截规则，提取Authorization头	原始Token字符串	白名单遗漏、拦截顺序错误、OPTIONS预检未放行
Token解析	Token字符串	签名验证、过期检查、Payload提取	用户身份信息（userId, roles）	Token伪造、过期、签名算法不匹配、Payload结构异常
角色/权限匹配	用户身份信息 + 请求资源标识	查询角色-权限映射表，比对资源权限	权限判定结果（true/false）	角色继承未生效、权限缓存未刷新、通配符匹配错误
决策与响应	权限判定结果	生成响应状态码、错误码、提示信息	HTTP 403/401 或正常响应	错误码不统一、敏感信息泄露、响应格式不一致

3.2 请求拦截阶段

请求拦截是权限校验的入口，通常由过滤器（Filter）或拦截器（Interceptor）实现。拦截器需要从HTTP请求中提取Token，并判断当前请求是否属于无需校验的白名单路径。

3.2.1 拦截规则配置

拦截规则通常包含以下配置项：

白名单路径：登录接口、注册接口、静态资源、健康检查接口等无需Token的路径。
拦截路径：需要权限校验的业务接口，通常使用通配符匹配（如 /api/**）。
HTTP方法限制：某些接口仅允许特定方法（如GET、POST）访问。

测试要点：

验证白名单路径是否可绕过Token校验直接访问。
验证通配符匹配的边界情况（如 /api/../admin 路径穿越）。
验证OPTIONS预检请求是否被正确放行（CORS场景）。
验证拦截器执行顺序是否影响后续过滤器链。

3.2.2 Token提取方式

Token通常通过以下方式传递：

传递方式	示例	测试关注点
Authorization Header	`Authorization: Bearer <token>`	缺失Header、格式错误（无Bearer前缀）、多个Header
Cookie	`Cookie: token=<token>`	Cookie被禁用、跨域Cookie丢失、HttpOnly属性
请求参数	`?token=<token>`	参数注入、URL长度限制、日志泄露风险

3.3 Token解析阶段

Token解析是权限校验的核心环节，负责验证Token的合法性和完整性，并从中提取用户身份信息。当前主流方案为JWT（JSON Web Token）。

3.3.1 JWT结构解析

一个标准的JWT由三部分组成：Header（头部）、Payload（载荷）、Signature（签名），以点号分隔。

// JWT示例
eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwicm9sZXMiOlsiYWRtaW4iLCJ1c2VyIl0sImlhdCI6MTUxNjIzOTAyMn0.
POstGetfAytaZS82wHcjoTyoqhMyE3LSgT7R5GqIC0E

3.3.2 解析验证步骤

格式校验：检查Token是否为三个点号分隔的Base64编码字符串。
签名验证：使用服务端密钥或公钥验证签名是否匹配。
过期检查：比对 exp（过期时间）与当前时间。
Payload提取：解码Payload，提取用户ID、角色列表等关键信息。

常见失败场景：

使用错误的密钥验证签名（密钥轮换未同步）。
Token已过期但系统未正确处理（返回500而非401）。
Payload中缺少必要字段（如 roles 数组为空）。
签名算法混淆（HS256 vs RS256 不匹配）。

3.4 角色/权限匹配阶段

权限匹配阶段将解析出的用户角色与请求资源的访问控制列表（ACL）进行比对，判定用户是否具备操作权限。

3.4.1 权限模型对比

模型	描述	匹配逻辑	测试难点
RBAC（基于角色）	用户 → 角色 → 权限	查询用户角色，再查角色权限	角色继承、角色互斥、角色层级
ABAC（基于属性）	用户属性 + 资源属性 + 环境条件	策略引擎动态评估	属性组合爆炸、策略优先级冲突
ACL（访问控制列表）	资源直接绑定用户/角色	遍历ACL列表匹配	ACL条目过多导致性能下降

3.4.2 匹配逻辑示例

以下是一个基于RBAC的权限匹配伪代码：

// 权限匹配核心逻辑
public boolean checkPermission(User user, String resource, String action) {
    // 1. 获取用户角色列表
    List<Role> roles = user.getRoles();
    
    // 2. 遍历角色，查询角色权限
    for (Role role : roles) {
        Set<Permission> permissions = role.getPermissions();
        
        // 3. 匹配资源与操作
        for (Permission perm : permissions) {
            if (perm.matches(resource, action)) {
                return true;  // 匹配成功
            }
        }
    }
    
    // 4. 未匹配到任何权限
    return false;
}

测试建议：

构造用户拥有多个角色的场景，验证权限取并集还是交集。
测试通配符权限（如 /*、/**）的匹配优先级。
验证权限缓存更新机制：修改角色权限后，缓存是否及时失效。
测试权限继承场景：子角色是否自动继承父角色的权限。

3.5 决策与响应阶段

决策阶段根据权限匹配结果生成最终响应。对于权限校验失败的请求，系统需要返回统一的错误信息，同时记录审计日志。

3.5.1 响应状态码规范

场景	HTTP状态码	业务错误码	响应体示例
Token缺失或无效	401 Unauthorized	AUTH_TOKEN_INVALID	`{"code": 40101, "message": "无效的访问令牌"}`
Token已过期	401 Unauthorized	AUTH_TOKEN_EXPIRED	`{"code": 40102, "message": "访问令牌已过期"}`
权限不足	403 Forbidden	AUTH_PERMISSION_DENIED	`{"code": 40301, "message": "无权限执行此操作"}`
资源不存在（权限隐藏）	404 Not Found	RESOURCE_NOT_FOUND	`{"code": 40401, "message": "请求的资源不存在"}`

3.5.2 审计日志记录

每次权限校验失败都应记录审计日志，包含以下关键字段：

请求ID：用于关联请求链路。
用户标识：用户ID或IP地址（未登录时）。
请求资源：URL路径和HTTP方法。
失败原因：Token过期、签名无效、权限不足等。
时间戳：精确到毫秒的请求时间。

安全注意事项：

错误信息不应泄露系统内部细节（如数据库表名、文件路径）。
响应体格式应保持统一，便于客户端统一处理。
审计日志中不应记录完整Token或密码等敏感信息。
对于未认证的请求，避免返回“用户不存在”等可枚举用户名的信息。

3.6 权限校验失败场景测试清单

以下清单覆盖了权限校验各阶段的典型失败场景，可作为测试用例设计的参考：

阶段	测试场景	预期结果
请求拦截	未携带Token访问受保护接口	返回401，错误码AUTH_TOKEN_MISSING
请求拦截	携带空Token（Authorization: Bearer ）	返回401，错误码AUTH_TOKEN_INVALID
Token解析	使用已过期的Token访问接口	返回401，错误码AUTH_TOKEN_EXPIRED
Token解析	使用其他服务签名的Token（跨服务攻击）	返回401，签名验证失败
Token解析	Payload中roles字段缺失或为空	返回403，权限不足
权限匹配	用户角色无权限访问指定资源	返回403，错误码AUTH_PERMISSION_DENIED
权限匹配	用户拥有多个角色，但任一角色均无权限	返回403，权限不足
决策响应	权限校验失败时返回敏感信息（如堆栈跟踪）	返回统一错误格式，无敏感信息泄露
决策响应	审计日志未记录权限校验失败事件	审计日志中应包含失败记录

权限校验核心流程的每个阶段都是测试的重点。测试人员需要深入理解各阶段的处理逻辑，针对输入异常、边界条件、安全攻击等场景设计测试用例，确保权限校验机制的健壮性和安全性。