3. 鉴权拦截场景分析：微服务架构下鉴权拦截的典型流程

在微服务架构中，鉴权拦截是保障系统安全的第一道防线。典型的鉴权拦截流程通常包含三个核心阶段：Token 校验、权限校验和审计日志。这三个阶段在分布式事务场景下，尤其是涉及 Outbox 模式时，需要特别关注其原子性和一致性。

3.1 鉴权拦截的典型流程

下图展示了微服务网关层与业务服务层协同完成鉴权拦截的完整流程。该流程是后续引入 Outbox 模式进行事务一致性改造的基础。

3.2 阶段一：Token 校验

Token 校验是鉴权拦截的入口，主要验证请求携带的凭证是否合法、是否过期。常见的 Token 形式包括 JWT（JSON Web Token）和 OAuth2 Token。

校验项	说明	典型失败场景
Token 格式	检查 Token 是否符合 JWT 或 OAuth2 规范	Token 被篡改、格式错误
签名验证	使用公钥或对称密钥验证 Token 签名	密钥不匹配、签名算法不一致
过期时间	检查 exp 字段是否在当前时间之后	Token 过期、客户端未刷新
颁发者/受众	验证 iss 和 aud 字段是否合法	Token 被重放到其他服务

3.3 阶段二：权限校验

Token 校验通过后，系统需要进一步验证请求者是否拥有执行特定操作的权限。权限校验通常基于 RBAC（基于角色的访问控制）或 ABAC（基于属性的访问控制）模型。

典型的权限校验流程包含以下步骤：

1. 提取用户身份：从 Token 中解析出用户 ID、角色列表或权限标签。
2. 获取资源权限：根据请求的 API 路径、HTTP 方法、资源 ID 等，查询该资源所需的权限配置。
3. 匹配权限规则：将用户拥有的权限与资源要求的权限进行匹配。
4. 返回决策结果：匹配成功则放行，失败则返回 403 Forbidden。

3.4 阶段三：审计日志

审计日志是鉴权拦截的最后一环，也是 Outbox 模式应用的关键场景。每一次鉴权请求（无论成功或失败）都应被完整记录，用于安全审计、故障排查和合规要求。

审计日志通常包含以下字段：

字段	类型	说明
request_id	UUID	全局唯一请求标识
user_id	String	请求用户 ID（匿名请求可为空）
token_id	String	Token 的唯一标识（jti）
action	String	请求的 API 路径 + HTTP 方法
result	Enum	鉴权结果：SUCCESS / TOKEN_INVALID / PERMISSION_DENIED
timestamp	DateTime	鉴权完成时间
source_ip	String	客户端 IP 地址

3.5 鉴权拦截中的事务一致性问题

在微服务架构下，鉴权拦截流程涉及多个独立组件（网关、鉴权服务、业务服务、数据库），存在以下事务一致性问题：

• 鉴权结果与审计日志不一致：鉴权通过后，审计日志写入失败，导致请求无记录可查。
• 权限变更与缓存不一致：权限规则更新后，缓存未及时刷新，导致误判。
• Token 吊销与后续请求不一致：Token 被吊销后，已缓存的 Token 校验结果仍被使用。

3.6 典型鉴权拦截代码示例（伪代码）

以下代码展示了在网关层进行鉴权拦截并记录审计日志的典型逻辑。注意，该版本尚未引入 Outbox 模式，存在事务一致性问题。

// 网关鉴权拦截伪代码（未引入 Outbox）
public Response authenticateAndAuthorize(HttpRequest request) {
    // 1. 提取 Token
    String token = extractToken(request);
    
    // 2. Token 校验
    TokenValidationResult tokenResult = validateToken(token);
    if (!tokenResult.isValid()) {
        // 记录审计日志（直接写入数据库）
        auditLogService.save(new AuditLog(request, tokenResult, "TOKEN_INVALID"));
        return Response.status(401).build();
    }
    
    // 3. 权限校验
    PermissionCheckResult permResult = checkPermission(tokenResult.getUserId(), request.getPath());
    if (!permResult.isGranted()) {
        // 记录审计日志（直接写入数据库）
        auditLogService.save(new AuditLog(request, tokenResult, "PERMISSION_DENIED"));
        return Response.status(403).build();
    }
    
    // 4. 鉴权通过，记录成功日志
    auditLogService.save(new AuditLog(request, tokenResult, "SUCCESS"));
    
    // 5. 转发请求到业务服务
    return forwardToBusinessService(request);
}