微服务-API网关-身份验证

最新推荐文章于 2025-05-18 15:19:08 发布

原创

最新推荐文章于 2025-05-18 15:19:08 发布 · 4.4k 阅读

18 ·

CC 4.0 BY-SA版权

本文介绍了微服务架构中的身份验证设计，包括界面登录验证（如Basic、Ldap、OAuth、Kerberos和SSO）和接口调用验证（如HMAC、JWT）。重点讨论了SSO登录方式的必要性及其解决方案CAS，阐述了CAS的工作原理、关键术语以及用户登录流程。同时，提出了界面登录身份验证的架构设计，强调了跨域访问、缓存和CAS Client等关键点设计。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

身份验证介绍

身份验证通常是进入系统的第一道大闸，要求用户出具登录此系统的身份证明。

其实在实际情况下，很多人开发的系统都没有身份验证功能或者就只有普通用户名和密码验证功能，这样的系统其实都是不完善的，也是不符合安全标准的，所以作为这么大众化的系统，我们有必要做详细的学习和了解。

##身份验证分类

对于身份验证，我们分两种情况来看待，界面登录验证和接口调用验证，这两种方式所使用的身份验证方法很多时候是不一样的。

界面登录验证

指用户通过前端（包含浏览器端和移动端）来进入系统，用户一旦登录成功后，用户后续的操作便是以此身份来执行，常规的做法是服务端生成相应的Session，前端生成Cookie。常见的界面登录解决方案有SSO、Ldap、OAuth、Basic、Kerberos等。下面我们说说这几个解决方案。

Basic

普通用户名密码登录，通常把用户名和密码以明文或者加密后的方式存储在数据库中，当用户在前端输入用户名密码后，后端进行验证，通过后会生成相应的Session信息，这样就算验证成功了。

这是最基本的一种身份验证方式，在开源软件的身份验证功能里面通常都会带有这种方式。

Ldap

LDAP（Light Directory Access Portocol），它是基于X.500标准的轻量级目录访问协议。

目录数据库是一个为查询、浏览和搜索而优化的数据库，它成树状结构组织数据，类似文件目录一样。

目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。所以目录天生是用来查询的，就好象它的名字一样。

LDAP目录服务是由目录数据库和一套访问协议组成的系统。

OAuth

OAuth 2.0 是一个行业的标准授权协议。OAuth 2.0 专注于简化客户端开发人员，同时为 Web 应用程序，桌面应用程序，手机和客厅设备提供特定的授权流程。

它的最终目的是为第三方应用颁发一个有时效性的令牌 token。使得第三方应用能够通过该令牌获取相关的资源。常见的场景就是：第三方登录。当你想要登录某个论坛，但没有账号，而这个论坛接入了如 QQ、Facebook 等登录功能，在你使用 QQ 登录的过程中就使用的 OAuth 2.0 协议。

Kerberos

Kerberos 是一个网络认证的框架协议，其设计的初衷便是通过密钥系统为 Client 和 Server 应用程序之间提供强大的认证服务。在使用 Kerberos 认证的集群中，Client 不会直接和 Server 进行认证，而是通过 KDC（Key Distribution Center）来完成互相的认证。

Kerberos是一种单点登录解决方案，使用场景之一是在大数据（Hadoop）集群中，用来作为大数据安全的基础保障。