【系统架构设计】无状态设计：扩展的第一步也是最难的一步
有状态服务是水平扩展的最大障碍。本文从 Session、文件上传、WebSocket 三个典型场景出发，拆解状态外置模式、JWT 与服务端 Session 的架构级差异，以及 Sticky Session 的真实代价，给出从有状态到无状态的完整迁移路径。
JWT 标签归档
共 4 篇文章 · 返回首页
【系统架构设计】认证架构：从 Session 到 JWT 到 OIDC
用户登录这件事，从单体时代的 Session-Cookie 到微服务时代的 JWT，再到企业级 SSO 的 OIDC，每一次演进都在解决上一代方案的痛点，同时引入新的复杂性。本文从 Session 的状态管理问题出发，拆解 JWT 的无状态验证机制与吊销困境，深入分析 OAuth 2.0 授权码流程的完整攻击面，给出 SSO 架构选型的工程判据。
【身份与访问控制工程】JWT、JWS、JWE、JWKS 一次讲透
JWT 是现代身份系统事实上的令牌格式，但围绕它的 JWS、JWE、JWK、JWKS 四个 RFC 常常被混为一谈。本文从标准归属、字段细节、算法选型、攻击面、密钥轮换到生产运维，把 JWT 相关的工程问题一次讲透
【身份与访问控制工程】Session、Refresh Token 与吊销体系
JWT 的无状态签发解决了分布式认证的扩展性，但也把吊销这件事推回到了工程师面前。一个短期 access token 配长期 refresh token 的混合架构，在 Google、Auth0、Keycloak、AWS Cognito 的实现里趋同收敛，但细节差异能决定系统在被攻击时是多丢一个账号还是多丢一百万。本文把 refresh token rotation、reuse detection、family-based abort、OIDC back-channel logout、Redis 黑名单、Bloom filter 加速、批量吊销场景拆开讲清楚。