3. Redis 在 OAuth2.0 中的角色：为什么选择 Redis 存储授权码与令牌

在 OAuth2.0 授权码流程中，授权码（Authorization Code）和访问令牌（Access Token）是核心的临时凭证。它们具有短生命周期、高并发读写、需要快速失效的特性。传统的关系型数据库（如 MySQL）虽然持久化能力强，但在处理这种高频、低延迟的临时数据时，往往成为性能瓶颈。Redis 凭借其内存数据结构、内置过期机制和原子操作，成为 OAuth2.0 授权服务器的首选缓存层。

3.1 授权码与令牌的存储特性对比

下表对比了授权码、访问令牌与刷新令牌在存储层面的关键差异，帮助理解为何 Redis 的“内存+过期”模型天然匹配这些需求。

3.2 Redis 在 OAuth2.0 中的核心角色

Redis 在 OAuth2.0 授权码流程中扮演了三个关键角色：临时凭证仓库、高性能验证引擎和分布式状态协调器。下面通过一张架构图展示 Redis 在授权码流程中的位置。

3.3 为什么选择 Redis：五大核心优势

相比其他存储方案（如 MySQL、本地内存、JWT 无状态），Redis 在 OAuth2.0 场景下具备以下不可替代的优势：

1. 内置 TTL 过期机制：授权码和令牌都有明确的过期时间。Redis 的 EXPIRE 命令和 SETEX 命令可以在写入数据时直接设置过期秒数，到期自动删除，无需应用层轮询清理。
2. 原子操作保障一次性消费：授权码必须“一次使用即失效”。Redis 的 GETDEL 命令（或 Lua 脚本）可以原子地读取并删除键，完美防止授权码重放攻击。
3. 高吞吐低延迟：令牌验证是每次 API 请求的必经环节。Redis 基于内存，读写延迟通常在微秒级，单节点即可支撑每秒数万次令牌自省请求。
4. 分布式共享状态：在微服务架构中，授权服务器通常部署多个实例。Redis 作为集中式缓存，确保所有实例共享同一份授权码和令牌数据，避免“实例本地缓存不一致”问题。
5. 丰富的数据结构：除了简单的键值对，Redis 的 Set、Hash、Sorted Set 等结构可用于实现令牌黑名单、客户端限流、刷新令牌轮换等高级功能。

3.4 授权码与令牌的 Redis 存储模型

下面通过第二张 SVG 图展示授权码和访问令牌在 Redis 中的具体存储结构，以及它们如何通过键关联。

3.5 关键操作：原子删除与防重放

授权码的“一次性使用”是 OAuth2.0 安全模型的核心。Redis 的 GETDEL 命令是实现这一需求的理想工具。下面是一个典型的授权码消费代码示例：

// 授权码消费：原子读取并删除
public String consumeAuthorizationCode(String codeId) {
    // 使用 GETDEL 原子操作：读取值并立即删除键
    String codeData = redisTemplate.opsForValue().getAndDelete("oauth:code:" + codeId);
    
    if (codeData == null) {
        // 授权码不存在或已被消费
        throw new OAuth2Exception("invalid_grant", "Authorization code expired or already used");
    }
    
    // 反序列化并返回
    return codeData;
}

// 授权码生成：设置 5 分钟过期
public void storeAuthorizationCode(String codeId, String codeData) {
    redisTemplate.opsForValue().set(
        "oauth:code:" + codeId,
        codeData,
        Duration.ofMinutes(5)
    );
}

3.6 令牌黑名单与主动撤销

当用户主动登出或管理员撤销令牌时，需要一种机制让令牌立即失效。Redis 的 Set 结构非常适合实现令牌黑名单：

// 将令牌加入黑名单，TTL 设置为令牌剩余有效期
public void revokeAccessToken(String tokenHash, long ttlSeconds) {
    redisTemplate.opsForSet().add("oauth:blacklist", tokenHash);
    redisTemplate.expire("oauth:blacklist", Duration.ofSeconds(ttlSeconds));
}

// 验证令牌时检查黑名单
public boolean isTokenRevoked(String tokenHash) {
    return redisTemplate.opsForSet().isMember("oauth:blacklist", tokenHash);
}

这种方案的优势在于：黑名单本身也有 TTL，当所有令牌都过期后，黑名单自动清空，无需手动维护。

3.7 为什么不是 JWT 无状态令牌？

虽然 JWT（JSON Web Token）可以做到无状态验证，但在授权码流程中，Redis 方案仍然具有明显优势：