微服务安全设计：mTLS双向认证与OAuth 2.0 Token传递

## 微服务安全威胁模型与防护体系 微服务架构将单体应用拆分为多个独立部署的服务通过网络通信，这极大地扩展了攻击面——内部服务通信不再受防火墙保护，任何被攻陷的服务都可能成为攻击跳板。mTLS双向认证是服务间安全的第一道防线：与单向TLS不同，mTLS要求通信双方都提供数字证书，服务端验证客户端证书合法性后建立连接。在Istio等服务网格中mTLS由Sidecar代理自动处理，业务代码无需关心证书管理和TLS握手。Citadel组件负责证书签发和轮换，Strict/Permissive/Disable三种模式灵活控制策略。证书默认24小时轮换确保泄露影响最小化。网络层还需配合Kubernetes NetworkPolicy限制Pod间通信只允许必要端口协议实现纵深防御。 ## OAuth 2.0与Token传递机制 推荐使用Authorization Code Flow加PKCE实现用户认证，通过Keycloak/Auth0等授权服务器颁发JWT格式Access Token。JWT中携带用户身份和权限声明，微服务验证签名和有效期实现无状态认证。服务间调用场景中Token传递是关键问题——Bearer Token传递原始Token有权限泄露风险。Token Exchange（RFC 8693）更安全：服务A通过授权服务器将原始Token交换为权限受限的新Token后再调用服务B实现最小权限原则。RBAC适合粗粒度角色控制：@PreAuthorize("hasRole('ADMIN')")限制访问。ABAC提供更细粒度动态授权：可根据用户属性、资源属性、环境属性（IP、时间）等多维条件决策。OpenID Connect在OAuth 2.0上增加身份层提供id_token和UserInfo端点。 ## 安全实施策略与最佳实践 建议采用Defense in Depth多层防护互为补充：网络层Kubernetes NetworkPolicy限制Pod间通信，应用层每个微服务独立验证不信任上游数据，数据层敏感数据AES-256加密存储TLS传输。API网关集中处理认证限流日志减轻下游负担。密钥管理用HashiCorp Vault或云KMS提供安全存储、轮换和访问控制，应用不应硬编码密钥。审计日志记录所有认证事件和敏感操作写独立存储配实时告警。CORS精确设Allowed Origin避免宽松配置。CSP/X-Content-Type-Options/X-Frame-Options等安全头防御XSS和点击劫击。Session管理设置固定保护和并发控制。定期安全审计和渗透测试。