3. 鉴权拦截基础：OAuth2.0、JWT、Token传递与校验流程

在分布式事务系统中，鉴权拦截是保障服务间调用安全的第一道防线。本章聚焦于 OAuth2.0 授权框架、JWT 令牌结构以及 Token 在微服务间的传递与校验流程，为后续参数调优奠定理论基础。

3.1 OAuth2.0 授权框架

OAuth2.0 是一种授权协议，允许第三方应用获取对用户资源的有限访问权限，而无需暴露用户凭证。在分布式系统中，它常用于服务间授权与 API 网关鉴权。

3.2 JWT 令牌结构

JWT（JSON Web Token）是一种自包含的令牌格式，由三部分组成：Header、Payload、Signature。其自包含特性使其非常适合分布式无状态鉴权。

// JWT 示例（解码后）
Header:  { "alg": "RS256", "typ": "JWT" }
Payload: {
  "sub": "user_12345",
  "iss": "auth-service",
  "exp": 1718000000,
  "iat": 1717996400,
  "scope": ["read:orders", "write:orders"]
}
Signature: RSASHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), privateKey)

3.3 Token 传递与校验流程

在微服务架构中，Token 通常通过 HTTP Header（Authorization: Bearer <token>）传递。完整的校验流程涉及网关、鉴权服务和业务服务三个角色。

3.4 校验流程关键步骤

1. Token 提取： 从 HTTP Header 中提取 Bearer Token，检查格式是否正确。
2. 签名验证： 使用公钥验证 JWT 签名，防止伪造令牌。
3. 过期检查： 验证 exp 声明，拒绝过期 Token。
4. 作用域校验： 检查 scope 声明是否包含当前请求所需的权限。
5. 用户信息提取： 从 Payload 中提取 sub、iss 等信息，注入请求上下文。

3.5 常见鉴权模式对比

3.6 Token 传递最佳实践

• 透传 vs 重新签发： 内部服务间调用建议透传原始 Token，避免重新签发带来的性能开销。仅在跨信任域时重新签发。
• Header 压缩： 使用 HPACK 或自定义压缩算法减少 Token 在 HTTP Header 中的传输大小。
• 缓存公钥： 每个服务启动时从鉴权服务获取公钥并缓存，设置 1 小时过期，避免每次验签都远程加载。
• 异步校验： 对于非关键路径（如日志上报），可将 Token 校验放入异步队列，减少主路径延迟。

3.7 参数调优清单