2. 客户端凭证模式深度解析：Access Token 的颁发流程、Refresh Token 机制、Token 生命周期管理

2.1 核心流程：Access Token 的颁发

客户端凭证模式（Client Credentials Grant）是 OAuth 2.0 中最简洁的授权流程，专为服务端到服务端（Machine-to-Machine, M2M）的通信场景设计。该模式下，客户端使用自身的凭证（client_id 和 client_secret）直接向授权服务器请求 Access Token，无需用户授权。

2.1.1 标准颁发步骤

1. 客户端发起请求：客户端向授权服务器的 Token 端点发送 HTTP POST 请求。
2. 服务器验证凭证：授权服务器验证 client_id 和 client_secret 的有效性。
3. 生成 Access Token：验证通过后，服务器生成一个签名的 Access Token（通常为 JWT 格式）。
4. 返回 Token 响应：服务器返回包含 Access Token 和可选元数据的 JSON 响应。

2.1.2 请求与响应示例

客户端请求：

POST /oauth/token HTTP/1.1
Host: auth.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials
&client_id=your_client_id
&client_secret=your_client_secret
&scope=read write

授权服务器响应：

HTTP/1.1 200 OK
Content-Type: application/json; charset=UTF-8
Cache-Control: no-store
Pragma: no-cache

{
  "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "scope": "read write"
}

2.2 客户端凭证模式流程图

下图展示了客户端凭证模式中 Access Token 的完整颁发流程，以及客户端如何使用 Token 访问受保护资源。

2.3 Refresh Token 机制

在客户端凭证模式中，Refresh Token 通常不被支持。这是因为客户端凭证模式用于 M2M 通信，客户端可以随时使用自己的凭证请求新的 Access Token，无需 Refresh Token 来延长会话。

2.3.1 与其他模式的对比

2.4 Token 生命周期管理

Token 生命周期管理是后端安全合规压测的核心关注点。合理的生命周期策略可以平衡安全性与性能。

2.4.1 生命周期关键参数

2.4.2 生命周期状态机

下图展示了 Access Token 从颁发到失效的完整生命周期，以及客户端在不同阶段的行为策略。

2.5 压测场景设计建议

• Token 颁发压力测试：模拟大量客户端同时请求 Token，测试授权服务器的吞吐能力和响应时间。
• Token 验证性能测试：模拟客户端使用有效 Token 并发访问资源服务器，测试 Token 验证的性能瓶颈。
• Token 过期处理测试：验证客户端在 Token 过期后是否能够正确获取新 Token，并重试失败的请求。
• 凭证错误处理测试：测试客户端使用无效 client_id 或 client_secret 时，服务器是否返回正确的错误码（如 401 Unauthorized）。