4. API安全设计：认证机制（OAuth2/JWT）、授权模型、API密钥管理

API安全是API治理的基石。在Mock隔离故障排查场景中，安全配置错误（如Token过期、Scope缺失、密钥轮换未同步）是导致Mock与真实环境行为不一致的常见根因。本章聚焦认证、授权与密钥管理三大核心领域，建立可审计、可复现的安全设计规范。

4.1 认证机制：OAuth2与JWT

认证（Authentication）解决“你是谁”的问题。现代API主要采用OAuth2授权框架配合JWT（JSON Web Token）作为凭证载体。

4.1.1 OAuth2授权流程

OAuth2定义了四种授权模式，适用于不同场景。在API治理中，最常用的是授权码模式（Authorization Code）和客户端凭证模式（Client Credentials）。

4.1.2 JWT结构与验证

JWT由三部分组成：Header（头部）、Payload（载荷）、Signature（签名）。API网关或Mock服务必须验证JWT的签名、过期时间（exp）和颁发者（iss）。

// JWT示例（解码后）
{
  "header": {
    "alg": "RS256",
    "typ": "JWT",
    "kid": "key-id-2024-01"
  },
  "payload": {
    "iss": "https://auth.example.com",
    "sub": "service-mock-01",
    "aud": ["api-gateway", "mock-server"],
    "exp": 1700000000,
    "iat": 1699996400,
    "scope": "read:orders write:orders"
  },
  "signature": "Base64Url(RSASHA256(header.payload, privateKey))"
}

4.2 授权模型：RBAC与ABAC

授权（Authorization）解决“你能做什么”的问题。API治理中，推荐采用基于角色的访问控制（RBAC）作为基础模型，复杂场景可叠加基于属性的访问控制（ABAC）。

4.2.1 RBAC模型

RBAC通过角色（Role）将用户与权限解耦。API网关根据JWT中的角色信息，决定是否放行请求。

4.2.2 Scope与权限粒度

OAuth2的Scope字段是授权的最小单元。API网关应基于Scope进行细粒度控制，避免“全有或全无”的粗放授权。

// 基于Scope的授权策略示例（伪代码）
function authorizeRequest(token, requestPath, method) {
  const scopes = token.payload.scope.split(' ');
  
  // 定义资源-方法-Scope映射
  const scopeMap = {
    'GET /api/v1/orders': 'read:orders',
    'POST /api/v1/orders': 'write:orders',
    'DELETE /api/v1/orders': 'admin:orders'
  };
  
  const requiredScope = scopeMap[`${method} ${requestPath}`];
  if (!requiredScope) return false; // 未定义路径，拒绝
  
  return scopes.includes(requiredScope);
}

4.3 API密钥管理

API密钥（API Key）是服务间认证的轻量方案，但管理不当会带来严重安全风险。治理规范要求建立密钥全生命周期管理机制。

4.3.1 密钥生命周期

4.3.2 Mock环境密钥隔离策略

在Mock隔离测试中，密钥管理是故障高发区。以下策略可有效降低风险：

• 独立密钥池：Mock环境使用独立的API Key和JWT签名密钥，与生产环境完全隔离。
• 密钥前缀标识：Mock密钥添加前缀（如 mock_），便于审计和过滤。
• 自动过期：Mock密钥有效期不超过24小时，测试结束后自动吊销。
• 密钥轮换同步：Mock环境与真实环境的密钥轮换节奏解耦，避免轮换不同步导致的认证失败。

// Mock环境密钥配置示例（环境变量）
MOCK_API_KEY=mock_sk_live_abc123def456
MOCK_JWT_PRIVATE_KEY=-----BEGIN RSA PRIVATE KEY-----\nMIIEpAIBAAKCAQEA...\n-----END RSA PRIVATE KEY-----
MOCK_JWT_PUBLIC_KEY=-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...\n-----END PUBLIC KEY-----
MOCK_KEY_EXPIRY_HOURS=24

4.4 安全设计检查清单

以下清单用于API设计评审和Mock隔离测试前的安全合规检查：