UMS中的鑒權(quán)系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)中期報(bào)告

UMS中的鑒權(quán)系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)中期報(bào)告一、選題背景隨著互聯(lián)網(wǎng)的不斷發(fā)展，電商、社交、游戲、音視頻等各種業(yè)務(wù)呈現(xiàn)出爆發(fā)式的增長(zhǎng)，各種軟件平臺(tái)不管是自建還是第三方提供，都需要實(shí)現(xiàn)鑒權(quán)系統(tǒng)以確保用戶數(shù)據(jù)的安全和合法性。在快速迭代的業(yè)務(wù)中，現(xiàn)有的鑒權(quán)系統(tǒng)往往不能滿足實(shí)際需求，所以探索一種高效、靈活的鑒權(quán)設(shè)計(jì)方案是有實(shí)際意義的。二、研究目的本次中期報(bào)告的主要目的是探索現(xiàn)有鑒權(quán)系統(tǒng)的不足之處，對(duì)常見(jiàn)的鑒權(quán)實(shí)現(xiàn)方案進(jìn)行分析，并設(shè)計(jì)一種高效、靈活的鑒權(quán)系統(tǒng)。三、研究?jī)?nèi)容和進(jìn)展1.對(duì)現(xiàn)有鑒權(quán)系統(tǒng)進(jìn)行分析針對(duì)不同的應(yīng)用場(chǎng)景和業(yè)務(wù)需求，現(xiàn)有的鑒權(quán)系統(tǒng)往往存在以下不足：（1）共享信息存儲(chǔ)不足：由于系統(tǒng)架構(gòu)和業(yè)務(wù)變化，導(dǎo)致很難實(shí)現(xiàn)共享信息的存儲(chǔ)和管理。常見(jiàn)的場(chǎng)景如跨域鑒權(quán)時(shí)需要共享用戶信息、聯(lián)合登錄鑒權(quán)時(shí)需要共享賬號(hào)信息等。（2）靈活性不足：現(xiàn)有的鑒權(quán)系統(tǒng)往往缺乏靈活性，無(wú)法根據(jù)不同的業(yè)務(wù)場(chǎng)景進(jìn)行快速調(diào)整。比如，有些業(yè)務(wù)場(chǎng)景需要根據(jù)用戶在不同地區(qū)的使用情況對(duì)鑒權(quán)方式進(jìn)行優(yōu)化、有些需求需要對(duì)接口進(jìn)行細(xì)粒度的訪問(wèn)控制等。（3）安全性問(wèn)題：現(xiàn)有的鑒權(quán)系統(tǒng)往往存在一些安全問(wèn)題，可能會(huì)給用戶數(shù)據(jù)的隱私和身份造成泄露和竊取的隱患。2.分析不同的鑒權(quán)實(shí)現(xiàn)方案根據(jù)實(shí)際需求，常見(jiàn)的鑒權(quán)實(shí)現(xiàn)方案主要包括：（1）基于Token的鑒權(quán)方案：該方案主要通過(guò)服務(wù)器生成Token串，用戶在登錄成功后，服務(wù)器會(huì)返回一個(gè)該用戶的Token串，然后用戶攜帶該Token串請(qǐng)求后端資源。服務(wù)器通過(guò)驗(yàn)證Token的合法性，來(lái)判斷用戶是否有資源的訪問(wèn)權(quán)限。（2）基于Session的鑒權(quán)方案：該方案主要使用Session來(lái)判斷用戶是否可以訪問(wèn)資源。用戶在登錄成功后，服務(wù)器會(huì)創(chuàng)建一個(gè)Session，將SessionID存儲(chǔ)在客戶端的Cookie中，以后的請(qǐng)求中都將該ID攜帶過(guò)來(lái)。服務(wù)器使用該ID來(lái)判斷用戶是否有權(quán)限訪問(wèn)，從而判斷請(qǐng)求是否合法。（3）基于OAuth2.0的鑒權(quán)方案：該方案主要針對(duì)第三方應(yīng)用授權(quán)場(chǎng)景。用戶使用第三方應(yīng)用時(shí)，需要先進(jìn)行授權(quán)，第三方應(yīng)用會(huì)向服務(wù)器請(qǐng)求授權(quán)，并返回一個(gè)AccessToken。當(dāng)用戶請(qǐng)求資源時(shí)，攜帶AccessToken請(qǐng)求服務(wù)器，服務(wù)器根據(jù)該Token判斷用戶是否有權(quán)限訪問(wèn)。3.設(shè)計(jì)一種高效、靈活的鑒權(quán)系統(tǒng)本次報(bào)告的重點(diǎn)是設(shè)計(jì)一種高效、靈活的鑒權(quán)系統(tǒng)，目前我們已經(jīng)完成了系統(tǒng)設(shè)計(jì)的初步規(guī)劃，主要包括以下幾個(gè)方面：（1）系統(tǒng)架構(gòu)設(shè)計(jì)：根據(jù)實(shí)際需求，我們提出了一種新型的鑒權(quán)系統(tǒng)架構(gòu)，主要分為認(rèn)證中心、授權(quán)中心和資源服務(wù)器三個(gè)部分。認(rèn)證中心負(fù)責(zé)身份驗(yàn)證、授權(quán)中心負(fù)責(zé)訪問(wèn)授權(quán)和令牌管理，資源服務(wù)器負(fù)責(zé)接收合法請(qǐng)求，校驗(yàn)訪問(wèn)令牌，返回合法響應(yīng)。（2）安全機(jī)制設(shè)計(jì)：安全機(jī)制是鑒權(quán)系統(tǒng)的重要組成部分，我們將采用HTTPS協(xié)議加密通信、前端CSRF防御、滑動(dòng)驗(yàn)證碼等措施來(lái)增強(qiáng)系統(tǒng)的安全性。（3）靈活性設(shè)計(jì)：系統(tǒng)的可配置能力很重要，為滿足不同業(yè)務(wù)場(chǎng)景的需求，我們將提供靈活的授權(quán)規(guī)則設(shè)置、白名單配置、拒絕訪問(wèn)提示等功能。四、下一步工作計(jì)劃接下來(lái)我們將進(jìn)一步完善系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)，主要包括：（1）完成系統(tǒng)的詳細(xì)設(shè)計(jì)文檔、實(shí)現(xiàn)文檔、測(cè)試文檔和用戶使用文檔。（2）根據(jù)實(shí)際業(yè)務(wù)場(chǎng)景，對(duì)系統(tǒng)的功能和性能進(jìn)行全面測(cè)試和調(diào)整