【身份与访问控制工程】JWT、JWS、JWE、JWKS 一次讲透
JWT 是现代身份系统事实上的令牌格式，但围绕它的 JWS、JWE、JWK、JWKS 四个 RFC 常常被混为一谈。本文从标准归属、字段细节、算法选型、攻击面、密钥轮换到生产运维，把 JWT 相关的工程问题一次讲透
JWT 标签归档
共 4 篇文章 · 返回首页
【身份与访问控制工程】Session、Refresh Token 与吊销体系
JWT 的无状态签发解决了分布式认证的扩展性，但也把吊销这件事推回到了工程师面前。一个短期 access token 配长期 refresh token 的混合架构，在 Google、Auth0、Keycloak、AWS Cognito 的实现里趋同收敛，但细节差异能决定系统在被攻击时是多丢一个账号还是多丢一百万。本文把 refresh token rotation、reuse detection、family-based abort、OIDC back-channel logout、Redis 黑名单、Bloom filter 加速、批量吊销场景拆开讲清楚。
【系统架构设计百科】无状态设计：扩展的第一步也是最难的一步
有状态服务是水平扩展的最大障碍。本文从 Session、文件上传、WebSocket 三个典型场景出发，拆解状态外置模式、JWT 与服务端 Session 的架构级差异，以及 Sticky Session 的真实代价，给出从有状态到无状态的完整迁移路径。
【系统架构设计百科】认证架构：从 Session 到 JWT 到 OIDC
用户登录这件事，从单体时代的 Session-Cookie 到微服务时代的 JWT，再到企业级 SSO 的 OIDC，每一次演进都在解决上一代方案的痛点，同时引入新的复杂性。本文从 Session 的状态管理问题出发，拆解 JWT 的无状态验证机制与吊销困境，深入分析 OAuth 2.0 授权码流程的完整攻击面，给出 SSO 架构选型的工程判据。