分布式认证方案

左手的ㄟ右手 2022-11-30 12:53 192阅读 0赞

## 1 选型分析 ##

#### 1.1 基于session的认证方式 ####

在分布式的环境下，基于session的认证会出现一个问题，每个应用服务都需要在session中存储用户身份信息，**通过负载均衡将本地的请求分配到另一个应用服务需要将session信息带过去，否则会重新认证**。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center]这个时候，通常的做法有下面几种：  
**Session复制**：多台应用服务器之间同步session，使session保持一致，对外透明。  
**Session黏贴**：当用户访问集群中某台服务器后，强制指定后续所有请求均落到此机器上。  
**Session集中存储**：将Session存入分布式缓存中，所有服务器应用实例统一从分布式缓存中存取Session。 总体来讲，基于session认证的认证方式，可以更好的在服务端对会话进行控制，且安全性较高。但是，session机 制方式基于cookie，在复杂多样的移动客户端上不能有效的使用，并且无法跨域，另外随着系统的扩展需提高 session的复制、黏贴及存储的容错性。

#### 1.2 基于token的认证方式 ####

基于token的认证方式，服务端不用存储认证数据，易维护扩展性强， 客户端可以把token 存在任意地方，并且可以实现web和app统一认证机制。其缺点也很明显，token由于自包含信息，因此一般数据量较大，而且每次请求 都需要传递，因此比较占带宽。另外，token的签名验签操作也会给cpu带来额外的处理负担。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 1]

#### 1.3 技术方案 ####

根据选型的分析，决定采用基于token的认证方式，它的优点是：  
1、**适合统一认证的机制，客户端、一方应用、三方应用都遵循一致的认证机制。**  
2、**token认证方式对第三方应用接入更适合**，因为它更开放，可使用当前有流行的开放协议Oauth2.0、JWT等。  
3、**一般情况服务端无需存储会话信息，减轻了服务端的压力**。 分布式系统认证技术方案见下图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 2]  
流程描述：  
（1）用户通过接入方（应用）登录，接入方采取OAuth2.0方式在统一认证服务(UAA)中认证。  
（2）认证服务(UAA)调用验证该用户的身份是否合法，并获取用户权限信息。  
（3）**认证服务(UAA)获取接入方权限信息，并验证接入方是否合法**。  
（4）若登录用户以及接入方都合法，**认证服务生成jwt令牌返回给接入方**，其中jwt中包含了用户权限及接入方权 限。  
（5）**后续，接入方携带jwt令牌对API网关内的微服务资源进行访问**。  
（6）**API网关对令牌解析、并验证接入方的权限是否能够访问本次请求的微服务**。  
（7）如果接入方的权限没问题，API网关将原请求header中附加解析后的明文Token，并将请求转发至微服务。  
（8）微服务收到请求，明文token中包含登录用户的身份和权限信息。因此后续微服务自己可以干两件事：1，用 户授权拦截（看当前用户是否有权访问该资源）2，将用户信息存储进当前线程上下文（有利于后续业务逻辑随时 获取当前用户信息）。  
流程所涉及到UAA服务、API网关这三个组件职责如下：  
**1）统一认证服务(UAA)**  
它承载了OAuth2.0接入方认证、登入用户的认证、授权以及生成令牌的职责，完成实际的用户认证、授权功能。  
**2）API网关**  
作为系统的唯一入口，API网关为接入方提供定制的API集合，它可能还具有其它职责，如身份验证、监控、负载均 衡、缓存等。API网关方式的核心要点是，所有的接入方和消费端都通过统一的网关接入微服务，在网关层处理所 有的非业务功能。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/dcd99c76915741e0b0664a88b0fc1899.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/a653a7f5adb04ff294b125c4765b3867.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjM3NDYzMzU4Mw_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221123/64d2cc5866e04adfbb6b7198933b670d.png