API 访问管理

让服务与服务之间的身份同样可控

内置 OAuth 2.0 授权服务器，支持 OIDC、作用域、自定义授权策略与令牌校验，为 API 与微服务提供标准化的访问控制。

当业务被拆成一组 API，身份问题就从「用户登录」扩展到了「调用方是谁、能调什么、调了多少」。

三种典型场景

  • 自有 App / 小程序登录：OIDC 授权码 + PKCE
  • 第三方集成：客户端凭据模式，按作用域限定权限
  • 微服务间调用：短期令牌 + 网关统一校验

令牌不是越长效越好

短有效期的访问令牌配合刷新机制，可以在凭据泄露时把暴露窗口压到最小。密钥轮换要提前设计，避免上线后卡在「不敢换」的状态。