科技
进入该工程域查看架构、实施与治理文档。
Engineering domains
技术主题域
从身份源、认证、授权到审计，以工程域组织架构决策和实施经验。
Latest documentation
最新文章
围绕真实系统问题，梳理可落地的身份架构、权限模型与治理路径。
精选专题 · 主策略
OAuth 2.0 只有钥匙，OIDC 才告诉你“你是谁”：ID Token 与 Access Token 的真实分工
OAuth 2.0 只有钥匙，OIDC 才告诉你“你是谁”：ID Token 与 Access Token 的真实分工 ID Token 用于验证用户身份，Access Token 用于访问受保护资源，两者在 OAuth 2.0 与 OIDC 的双轨机制中分别承担认证与授权的核心使命。 为什么 OIDC 要在 OAuth 基础上引入 ID Token？ OIDC 引入 ID Token 是为了解…
OAuth 只能给令牌，OIDC 怎么拿到用户邮箱？看 Authorization Code Flow 如何把 Claims 塞进 ID Token
OAuth 只能给令牌，OIDC 怎么拿到用户邮箱？看 Authorization Code Flow 如何把 Claims 塞进 ID Token OIDC 登录流程通过授权码交换获取 ID Token，将其携带的 Claims 直接作为用户基础档案传递给依赖方，从而完成从单纯授权到身份认证的转化。 OIDC 在 OAuth 基础上如何增加认证能力 OIDC 在 OAuth 2.0 之上构建认…
撤权后怎么确认权限真没了？靠带可信时间的拒绝日志
撤权后怎么确认权限真没了？靠带可信时间的拒绝日志 撤权后负向探测结果通过记录带有可信时间戳的访问拒绝证据，直接证明资源侧权限已实际收敛，而非仅停留在控制动作层面。 为什么发起撤权不等于权限失效：审计中的常见误区 发起撤权操作仅代表控制指令发出，因缓存、令牌或网关授权可能未同步失效，必须依赖后续验证才能确认权限真正消失。 很多团队以为系统里点了“删除”或回收了角色，权限就彻底消失了。事实是，控制动…
审计日志缺了它，你分不清是策略拦截还是系统故障：如何记录版本判定和执行点
审计日志缺了它，你分不清是策略拦截还是系统故障：如何记录版本判定和执行点 策略版本判定和执行点确认通过记录授权上下文版本号及执行结果，提供区分不同策略版本对同一资源产生差异影响的关键审计证据。 读完这篇，你能直接识别出当前审计证据链中缺失的关键一环：如何证明访问被拒绝是因为策略版本判定和执行点确认机制生效，而非系统故障。 为什么“策略版本判定和执行点确认”是审计闭环的核心 该机制是审计闭环核心，…
谁在操作？令牌如何被追踪：审计日志第二类关键记录详解
谁在操作？令牌如何被追踪：审计日志第二类关键记录详解 审计日志的第二类关键记录需明确标识操作发起者、客户端来源、凭证类型及会话或委托链的可识别引用，以此确立控制动作的具体对象。 一份日志若只记录了“用户 A 删除了文件”，却未说明该操作由哪个客户端发起、使用了哪张凭证或属于哪个会话，这份记录就失去了审计价值。这种模糊性正是 IETF Internet-Draft 挑战模型要解决的核心痛点 [1]…
权限变更如何记唯一标识：让审计日志从“流水账”变成“铁证链”
权限变更如何记唯一标识：让审计日志从“流水账”变成“铁证链” 权限变更事件通过为每次控制动作分配不可篡改的唯一标识，构建起可追溯、可复验的审计证据链，确保后续访问行为能精准关联至具体指令。 为什么权限变更事件需要记录唯一标识？ 记录唯一标识是为了区分不同时间点的控制动作，从而确认拦截或放行是针对最新撤销操作而非旧缓存，解决审计溯源中的身份混淆问题。 系统刚执行完权限回收，下一秒却仍有访问尝试被拦…
企业间交换安全信息别乱用 OAuth：为何 SAML 才是 B2B 协作首选
企业间交换安全信息别乱用 OAuth：为何 SAML 才是 B2B 协作首选 企业间交换安全信息需跨越独立安全域，SAML 作为专为跨组织信任设计的框架，是处理此类复杂业务交互的首选协议。 为什么企业间交换安全信息不能只看“认证”能力？ 仅关注用户身份认证无法支撑敏感数据传递，SAML 因专为跨伙伴信任构建，比侧重访问委托的 OAuth 或 OIDC 更契合此场景。 当两家公司需要互相传递敏感的…
要钥匙还是认身份？OAuth 与 OIDC 在获取用户档案上的核心区别
要钥匙还是认身份？OAuth 与 OIDC 在获取用户档案上的核心区别 确认终端用户已登录并获取档案是 OpenID Connect 的核心功能，它在 OAuth 授权基础上增加了身份层，专门用于向依赖方交付用户的姓名、邮箱等身份信息。 先分清目标：是“拿钥匙”还是“认身份” 选择协议的关键在于区分目标是获取操作资源的访问令牌，还是验证用户身份并获取其基础档案信息，前者属于 OAuth 范畴，后…
让 APP 读你的文件该选谁？OAuth、OIDC 和 SAML 的选型指南
让 APP 读你的文件该选谁？OAuth、OIDC 和 SAML 的选型指南 第三方应用获取资源访问权限时，应依据具体需求选择协议：仅需调用受保护资源选 OAuth，需验证用户身份选 OIDC，企业间交换安全凭证则用 SAML。 核心误区：别把“获取权限”当成“证明身份” OAuth、OIDC 与 SAML 解决的核心问题截然不同，前者专注客户端对资源的委托调用，后两者分别侧重用户身份确认与企业…
拿到访问令牌就以为登录成功了？OAuth 2.0 里的最大安全误区
拿到访问令牌就以为登录成功了？OAuth 2.0 里的最大安全误区 访问令牌仅证明资源访问权限，无法直接作为身份证明，因为 OAuth 授权与身份认证存在明确边界，需依赖发行者、受众及签名等额外规则验证。 OAuth 的核心定义：为何它是授权而非身份协议 OAuth 2.0 是专注于授予第三方应用有限资源访问权限的授权框架，其标准设计初衷从未包含用户身份认证或资料交换功能。 一个第三方应用拿到了…
拿到 Access Token 就代表登录成功？RFC 6749 早就划清了界限
拿到 Access Token 就代表登录成功？RFC 6749 早就划清了界限 拿到令牌不代表用户登录成功，因为 OAuth 2.0 本质是授权框架而非认证协议，令牌仅证明访问权限而非确认用户身份。 拿到令牌就代表登录成功？RFC 6749 的官方定义 RFC 6749 标准明确定义 OAuth 2.0 为授权框架，其设计初衷是授予第三方应用访问资源的权限，而非提供身份认证功能。 很多开发者在…
SAML 适合哪些企业间场景？别拿它当普通登录工具，它是跨组织信任的“行政契约”
SAML 适合哪些企业间场景？别拿它当普通登录工具，它是跨组织信任的“行政契约” SAML 专为在线业务伙伴间交换安全信息设计，其核心边界在于解决跨组织传递安全断言的信任问题，而非简单的单点登录。 SAML 的核心定位：是跨组织信任框架而非身份认证工具 SAML 2.0 本质是建立与传递跨组织信任关系的框架，专门用于业务伙伴间交换安全信息，区别于单纯的身份认证工具。 很多技术文档容易把 SAML…