3. OAuth2.0 核心概念：资源所有者、客户端、授权服务器、资源服务器、访问令牌与刷新令牌

OAuth2.0 是一种授权框架，它定义了一组角色和令牌交互流程，使得第三方应用（客户端）能够在资源所有者（用户）的授权下，安全地访问其托管在资源服务器上的受保护数据。理解这六大核心概念是构建安全微服务网关和中间件的基础。

3.1 五大核心角色

OAuth2.0 协议中定义了四个主要角色，加上一个关键的令牌实体，构成了整个授权生态。下表清晰展示了各角色的职责与交互关系：

角色 / 实体	英文名称	核心职责	典型示例
资源所有者	Resource Owner	拥有受保护资源的实体，能够授予或拒绝客户端对其资源的访问权限。	最终用户（如：GitHub 用户）
客户端	Client	代表资源所有者请求访问受保护资源的第三方应用。它本身不存储资源，而是通过令牌获取授权。	Web 应用、移动 App、单页应用
授权服务器	Authorization Server	负责验证资源所有者身份，颁发访问令牌和刷新令牌给客户端。它是整个授权流程的核心枢纽。	Auth0、Keycloak、自建 OAuth 服务
资源服务器	Resource Server	托管受保护资源的服务器。它接收并验证访问令牌，根据令牌中的权限决定是否返回资源。	API 网关、RESTful API 后端
访问令牌	Access Token	客户端用来访问资源服务器的凭证。它是一个字符串，通常具有时效性（如 1 小时）。	JWT 格式的 Bearer Token
刷新令牌	Refresh Token	用于在访问令牌过期后，无需用户重新授权即可获取新的访问令牌。它通常具有更长的有效期。	不透明的长字符串或 JWT

3.2 角色交互流程与令牌生命周期

下图展示了 OAuth2.0 授权码模式（最常用的流程）中，各角色之间的典型交互顺序以及令牌的流转路径：

3.3 访问令牌 vs 刷新令牌

访问令牌和刷新令牌是 OAuth2.0 中两个最关键的凭证实体，它们在用途、生命周期和安全策略上有显著区别。理解这些差异对于设计安全的 Go 中间件至关重要。

对比维度	访问令牌 (Access Token)	刷新令牌 (Refresh Token)
主要用途	直接用于访问受保护资源，作为 API 请求的凭证。	仅用于向授权服务器请求新的访问令牌，不直接访问资源。
有效期	短（通常 15 分钟 ~ 2 小时）	长（通常 7 天 ~ 30 天，甚至更长）
存储位置	客户端内存或短期缓存（如 HTTP 请求头）	客户端安全存储（如 HttpOnly Cookie、安全存储区）
泄露风险	高（泄露后攻击者可短时间访问资源）	极高（泄露后攻击者可长期续期令牌）
传输方式	通常放在 HTTP Authorization 头中（Bearer Token）	仅在客户端与授权服务器之间传输，不经过资源服务器
撤销机制	通常不单独撤销，依赖短有效期自动失效	支持显式撤销（如用户登出、密码变更）

3.4 令牌在 Go 中间件中的安全处理原则

在 Go 微服务网关或中间件中处理 OAuth2.0 令牌时，必须遵循以下安全实践：

• 令牌验证：中间件必须验证访问令牌的签名、有效期、颁发者（issuer）和受众（audience）。推荐使用 github.com/golang-jwt/jwt/v5 库进行 JWT 验证。
• 令牌缓存：避免对每个请求都调用授权服务器验证令牌。使用本地缓存（如 sync.Map 或 ristretto）缓存已验证的令牌信息，减少网络开销。
• 刷新令牌安全：刷新令牌应仅通过后端到后端的通信发送给授权服务器，绝不在客户端 JavaScript 中暴露。在 Go 中，建议使用 http.Cookie 设置 HttpOnly 和 Secure 标志。
• 并发安全：当多个 goroutine 同时处理令牌刷新时，必须使用互斥锁（sync.Mutex）或原子操作防止竞态条件。例如，使用 singleflight 包避免同时发起多个刷新请求。

3.5 令牌刷新流程的并发安全设计

下图展示了在 Go 中间件中，当访问令牌过期时，如何安全地使用刷新令牌获取新令牌，并处理并发请求的竞态条件：

3.6 代码示例：Go 中间件中的令牌验证与刷新

以下是一个简化的 Go 中间件片段，展示了如何验证访问令牌并在过期时使用刷新令牌安全续期：

package middleware

import (
    "context"
    "net/http"
    "sync"
    "time"

    "golang.org/x/sync/singleflight"
)

type TokenManager struct {
    mu          sync.Mutex
    accessToken string
    refreshToken string
    expiry      time.Time
    sf          singleflight.Group
}

// RefreshToken 使用 singleflight 防止并发刷新
func (tm *TokenManager) RefreshToken(ctx context.Context) (string, error) {
    // 使用 singleflight 确保同一时间只有一个刷新请求
    result, err, _ := tm.sf.Do("refresh", func() (interface{}, error) {
        tm.mu.Lock()
        defer tm.mu.Unlock()

        // 实际调用授权服务器的 /token 端点
        newToken, newExpiry, err := callAuthServer(tm.refreshToken)
        if err != nil {
            return "", err
        }

        tm.accessToken = newToken
        tm.expiry = newExpiry
        return newToken, nil
    })

    if err != nil {
        return "", err
    }
    return result.(string), nil
}

// Middleware 示例：自动刷新令牌
func (tm *TokenManager) Middleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 检查令牌是否过期
        if time.Now().After(tm.expiry) {
            newToken, err := tm.RefreshToken(r.Context())
            if err != nil {
                http.Error(w, "Unauthorized", http.StatusUnauthorized)
                return
            }
            // 将新令牌注入请求上下文
            ctx := context.WithValue(r.Context(), "access_token", newToken)
            r = r.WithContext(ctx)
        }
        next.ServeHTTP(w, r)
    })
}