微服务场景下OAuth2与SSO流程实现疑问咨询

一、OAuth角色理解修正 #

你的大部分角色理解是正确的，但授权服务器部分需要调整：

• resource owner：应用用户 ✔️
• client：iOS/Android/Angular应用 ✔️
• authorization server：建议以自建授权服务器为统一入口，它对接Google/Facebook等第三方授权服务器，同时处理本地表单注册登录。微服务只需与自建授权服务器交互，无需对接多个第三方平台
• resource server：提供API的各个Spring Boot/Node.js微服务 ✔️

这种架构的核心是用自建授权服务器做身份层统一，避免微服务直接依赖第三方服务，降低耦合度。

二、逐个问题解答 #

1. 整体假设是否正确？ #

你的核心场景假设（多客户端、多微服务、第三方+本地登录）是合理的，但授权服务器的架构建议调整为「自建统一授权服务器」，而非直接让微服务对接Google/Facebook，这样更符合微服务的解耦要求。

2. Client应如何存储令牌并授权API请求？ #

不要只把Access Token存在内存里，分客户端场景处理：

• Angular SPA：
  • Access Token存在sessionStorage（关闭浏览器即清除，降低XSS风险），每次API请求在Authorization头里携带Bearer {Access Token}
  • 同时获取并存储Refresh Token（存在localStorage，需做好XSS防护，比如开启CSP、避免内联脚本），当Access Token过期时，用Refresh Token向自建授权服务器请求新的Access Token，实现会话持久化
• iOS/Android应用：
  • Access Token存在内存，Refresh Token存在系统安全存储（iOS Keychain、Android Keystore），避免明文存储
  • 同样用Refresh Token自动刷新Access Token，无需用户重复登录

3. 后端微服务如何验证Access Token有效性？ #

不用每次调用外部授权服务器，方案如下：

• 自建授权服务器签发JWT格式的Access Token：JWT包含签名和用户身份信息，微服务只需通过预配置的公钥验证JWT签名即可确认有效性，无需网络请求
• 如果用户通过第三方登录，自建授权服务器会先向Google/Facebook验证第三方令牌的有效性，验证通过后再签发自己的JWT给客户端，微服务全程只和自建授权服务器的公钥交互

4. 后端如何识别请求身份，无需每次调用/userinfo？ #

通过自建授权服务器签发的JWT解决：

• 在JWT的Payload中嵌入必要的身份信息（比如user_id、username、role、login_source（第三方/本地）等）
• 微服务验证JWT签名通过后，直接解析Payload就能获取用户身份，完全不需要调用/userinfo端点
• 注意：JWT Payload不要存敏感信息（比如密码），只存非敏感的身份标识和权限信息

内容的提问来源于stack exchange，提问作者BartekN