3、鉴权拦截在Saga中的角色

在分布式事务场景中，Saga 协调器需要跨多个微服务执行补偿操作。鉴权拦截并非简单的“用户是否登录”检查，而是贯穿整个 Saga 生命周期的安全防线。本章从必要性、失败影响和拦截点设计三个维度，剖析鉴权拦截在 Saga 中的核心角色。

3.1 为什么需要鉴权拦截

Saga 事务通常涉及多个服务间的状态变更，每个参与节点都可能成为攻击面。鉴权拦截需要解决以下三个关键问题：

• 防止未授权补偿操作：恶意用户或故障节点可能伪造补偿请求，导致数据回滚到非法状态。
• 隔离事务边界：不同租户或用户组的事务数据必须严格隔离，避免跨域访问。
• 审计与追溯：每个 Saga 步骤的执行者身份必须可追溯，用于事后审计和故障定位。

3.2 鉴权失败对 Saga 事务的影响

鉴权失败在 Saga 中会产生连锁反应，其影响范围取决于失败发生的阶段。下表总结了不同阶段的鉴权失败后果：

3.3 拦截点设计

基于 Saga 的执行流程，鉴权拦截点应分布在三个关键位置：入口网关、协调器内部和参与服务端。每个拦截点承担不同的职责。

3.3.1 三层拦截架构

下图展示了 Saga 事务中的三层鉴权拦截架构：

3.3.2 各拦截点详细设计

下表对比了三个拦截点的关键设计参数：

3.3.3 拦截点代码示例

以下是一个协调器内部鉴权拦截的伪代码实现，展示了如何在 Saga 步骤执行前进行权限校验：

// Saga 协调器内部鉴权拦截器
public class SagaAuthInterceptor {

    public AuthResult intercept(SagaContext context, SagaStep step) {
        // 1. 提取事务上下文中的用户身份
        String userId = context.getUserId();
        String tenantId = context.getTenantId();

        // 2. 获取当前步骤所需的权限
        String requiredPermission = step.getRequiredPermission();

        // 3. 调用权限服务进行校验
        PermissionCheckRequest request = new PermissionCheckRequest()
            .setUserId(userId)
            .setTenantId(tenantId)
            .setPermission(requiredPermission)
            .setResourceId(step.getResourceId());

        PermissionCheckResponse response = permissionService.check(request);

        // 4. 鉴权失败处理
        if (!response.isAllowed()) {
            // 记录鉴权失败事件到 Saga 状态
            context.recordAuthFailure(step.getStepId(), response.getReason());

            // 触发补偿流程
            sagaCoordinator.compensate(context.getSagaId());

            return AuthResult.denied(response.getReason());
        }

        // 5. 鉴权通过，记录操作者身份
        context.setOperator(userId);
        return AuthResult.allowed();
    }
}

3.3.4 拦截点与 Saga 状态持久化的关系

鉴权拦截的结果必须与 Saga 状态一起持久化，以确保在恢复或审计时能够追溯。下图展示了鉴权结果在状态持久化中的存储结构：