【系统架构设计百科】认证架构：从 Session 到 JWT 到 OIDC
内容提要
本文讨论了电商平台中微服务的认证方案，比较了Session和JWT的优缺点。Session依赖中心存储，存在单点故障风险，而JWT无状态，适合微服务架构，但存在令牌吊销问题。文章还介绍了单点登录（SSO）需求及OpenID Connect（OIDC）作为解决方案，强调了在多产品线中实现统一身份管理的重要性，并提出了不同场景下的架构选型建议。
延伸解读
Session 与 JWT 的优缺点对比
在电商平台的微服务架构中，Session 认证依赖中心存储，存在单点故障风险，尤其在高并发场景下可能导致认证失败。而 JWT 认证无状态，适合微服务架构，但一旦签发便始终有效，令牌吊销成为难题。选择合适的认证方案需考虑系统的核心需求与场景。
单点登录（SSO）的重要性
单点登录（SSO）能够提升用户体验，用户只需登录一次即可访问多个应用。对于拥有多条产品线的企业，实施 SSO 可以实现统一身份管理和安全策略，降低用户管理的复杂性。OpenID Connect（OIDC）是当前主流的 SSO 解决方案，适合现代化的微服务架构。
JWT 的安全风险与应对策略
JWT 的无状态特性虽然提高了性能，但也带来了安全隐患，如令牌泄露后难以即时吊销。为应对这一问题，常见的策略包括设置短期有效的 Access Token 和使用 Refresh Token 进行续签，或维护黑名单以管理已吊销的令牌。这些措施可以在一定程度上降低风险。
Q&A
Session认证和JWT认证的主要区别是什么？
Session认证依赖中心存储，存在单点故障风险，而JWT认证无状态，适合微服务架构，但存在令牌吊销问题。
什么是单点登录（SSO），它的主要需求是什么？
单点登录（SSO）允许用户在多个应用间无需重复登录，核心需求是统一身份管理和安全策略。
JWT的结构是什么，它是如何工作的？
JWT由Header、Payload和Signature三部分组成，服务端通过公钥验证JWT的有效性，无需查外部存储。
在微服务架构中，如何选择合适的认证方案？
选择认证方案应基于系统的核心需求，如微服务间认证效率、统一登录或即时吊销能力。
OpenID Connect（OIDC）在OAuth 2.0中增加了什么功能？
OIDC在OAuth 2.0基础上增加了身份层，引入了ID Token，提供用户身份信息。
JWT的主要问题是什么，如何解决？
JWT的主要问题是令牌一旦签发便始终有效，解决方案包括短过期时间和使用黑名单机制。
