身份与访问

这一课你将能做到

1. 准确区分认证（AuthN）与授权（AuthZ），并解释 RBAC 与最小权限原则
2. 用 Spring Security 实现一套 RBAC：JWT 登录、角色注解鉴权、方法级权限控制
3. 说出 Zero Trust 的三个核心假设，并能给本站（Nginx + Spring Boot + MySQL + Redis）设计最小权限账号体系

为什么要学

「你是谁」和「你能干什么」是两件事，但无数系统把它们混为一谈：登录成功就放行一切，或者只在菜单上隐藏按钮、后端接口裸奔——这就是越权漏洞（IDOR/水平越权/垂直越权）的温床，常年霸榜 OWASP。

人话：AuthN 是门卫查身份证（确认你是张三）；AuthZ 是门禁系统查你的卡能刷哪几层楼（张三只能去 3 楼）。最危险的 bug 不是「没登录能访问」，而是「登录了 A 账号能改 B 的数据」——后端没校验资源归属。

先建立图像

一次请求的身份与权限旅程：

客户端                      服务端
  │  POST /login (账号密码)
  │ ──────────────────────→ AuthN: 校验 BCrypt 密码
  │                              │
  │  ←──── JWT (含 userId, roles)
  │
  │  GET /api/admin/users
  │  Header: Authorization: Bearer <JWT>
  │ ──────────────────────→ ① 验签 JWT（身份有效）
  │                         ② 提取 roles
  │                         ③ AuthZ: 该接口要求 ADMIN
  │                         ④ 方法内校验: 资源属于该用户?
  │                              │
  │  ←──── 200 / 403 / 401

RBAC 模型（本站简化版）：

用户表 user          角色表 role           权限表 permission
┌────────┐         ┌──────────┐         ┌─────────────┐
│ id     │──┐      │ id       │──┐      │ code        │
│ name   │  │      │ code     │  │      │ track:read  │
└────────┘  │      └──────────┘  │      │ track:write │
            │                    │      │ admin:*     │
     user_role ──────────────────┘      └─────────────┘
     (多对多中间表)            role_permission (多对多)

跟着做

步骤 1：JWT 登录签发

@Service
public class AuthService {
    private final JwtEncoder jwtEncoder;          // Spring Security 提供
    private final BCryptPasswordEncoder encoder = new BCryptPasswordEncoder(12);

    public String login(String username, String rawPassword) {
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new BadCredentialsException("账号或密码错误"));
        // 注意：报错不区分「账号不存在」和「密码错误」，防账号枚举
        if (!encoder.matches(rawPassword, user.getPasswordHash())) {
            throw new BadCredentialsException("账号或密码错误");
        }
        Instant now = Instant.now();
        JwtClaimsSet claims = JwtClaimsSet.builder()
            .subject(user.getId().toString())
            .claim("roles", user.getRoleCodes())     // ["USER","ADMIN"]
            .issuedAt(now)
            .expiresAt(now.plus(30, ChronoUnit.MINUTES))  // 短 TTL
            .build();
        return jwtEncoder.encode(JwtEncoderParameters.from(claims)).getTokenValue();
    }
}