1. OAuth2.0 基础：核心概念、授权码模式与令牌生命周期

1.1 OAuth2.0 协议核心概念

OAuth2.0 是一种授权框架，允许第三方应用在用户授权的前提下，有限度地访问用户在资源服务器上存储的资源，而无需暴露用户的长期凭证（如密码）。该协议定义了四个核心角色：

1.2 授权码模式（Authorization Code Grant）流程

授权码模式是 OAuth2.0 中最完整、最安全的授权流程，适用于有后端服务器的机密客户端。该模式通过引入一个临时的“授权码”作为中间凭证，避免了令牌直接暴露在用户代理（浏览器）中。

完整流程包含以下步骤：

1. 客户端发起授权请求：客户端将用户重定向到授权服务器的授权端点，请求中包含 client_id、redirect_uri、response_type=code 以及可选的 scope。
2. 用户认证并授权：授权服务器验证用户身份（通常通过登录页面），并向用户展示客户端请求的权限范围。用户确认授权。
3. 颁发授权码：授权服务器将用户重定向回客户端指定的 redirect_uri，并在 URL 查询参数中附加一个临时的 code（授权码）。
4. 客户端换取令牌：客户端使用授权码，通过后端通道（服务器到服务器）向授权服务器的令牌端点发起 POST 请求，携带 client_id、client_secret、code、redirect_uri 以及 grant_type=authorization_code。
5. 颁发访问令牌：授权服务器验证授权码和客户端凭证后，返回 access_token（访问令牌）和可选的 refresh_token（刷新令牌）。
6. 访问受保护资源：客户端使用 access_token 向资源服务器请求资源，资源服务器验证令牌后返回数据。

1.3 令牌类型与生命周期

OAuth2.0 协议定义了两种核心令牌类型，它们在用途、生命周期和安全策略上存在显著差异：

1.4 令牌生命周期管理策略

在实际的分布式系统中，令牌的生命周期管理直接影响系统的安全性和用户体验。以下是常见的生命周期管理策略：

• 短生命周期 + 自动刷新：访问令牌设置较短有效期（如 15 分钟），客户端在令牌过期前通过刷新令牌自动获取新令牌。这种方式在安全性和用户体验之间取得了良好平衡。
• 令牌缓存：在客户端（如 Go 中间件）中缓存访问令牌，避免每次请求都向授权服务器验证。缓存需考虑并发安全，防止多个协程同时刷新令牌导致授权服务器压力过大。
• 令牌吊销：授权服务器应提供令牌吊销端点，允许在用户主动登出或检测到安全事件时立即使令牌失效。
• 令牌内省（Introspection）：资源服务器可以通过调用授权服务器的内省端点来验证令牌的当前状态（是否有效、是否被吊销）。

1.5 令牌格式：不透明令牌 vs JWT

在实际实现中，访问令牌可以采用两种主流格式：