infra-oauth2 token 生成策略

[BanTanger]

No description provided.

[huoayi]

提问：
token 拦截具体是根据什么拦截的，我的想法是目前有两种思路

一种是有两个 token 一个是携带权限信息的token会走鉴权，一种是普通 token ，在系统中使用的通用 token ，如果鉴权系统做权限校验，那gateway这里的 token 拦截就只是系统内部使用的普通 token
只有一个token就是携带权限信息的 token ，但是这样的话相当于鉴权也在网关做了

[interca]

鉴权指的是对接口访问权限做鉴权吗

[huoayi]

鉴权指的是对接口访问权限做鉴权吗

鉴权不仅是对接口访问做权限校验，还有资源访问的控制，但是这个要看项目需求对粒度的控制了，比如你的身份是普通人员访问某张数据库表可能只有某些公共字段能返回给你，但是我的身份是管理员我就可以看到更多的字段更多的隐藏数据，当然目前现阶段应该不会把控这么严格，可以考虑先实现对接口做权限校验

[interca]

鉴权指的是对接口访问权限做鉴权吗

鉴权不仅是对接口访问做权限校验，还有资源访问的控制，但是这个要看项目需求对粒度的控制了，比如你的身份是普通人员访问某张数据库表可能只有某些公共字段能返回给你，但是我的身份是管理员我就可以看到更多的字段更多的隐藏数据，当然目前现阶段应该不会把控这么严格，可以考虑先实现对接口做权限校验

那个有点不太懂，比如团队新开发一个抢票小程序，那他可能有什么用户表，票的表，那他还会依赖infra上的表吗，他们不是自己建立表吗，能举例一下吗。

[huoayi]

鉴权指的是对接口访问权限做鉴权吗

鉴权不仅是对接口访问做权限校验，还有资源访问的控制，但是这个要看项目需求对粒度的控制了，比如你的身份是普通人员访问某张数据库表可能只有某些公共字段能返回给你，但是我的身份是管理员我就可以看到更多的字段更多的隐藏数据，当然目前现阶段应该不会把控这么严格，可以考虑先实现对接口做权限校验

那个有点不太懂，比如团队新开发一个抢票小程序，那他可能有什么用户表，票的表，那他还会依赖infra上的表吗，他们不是自己建立表吗，能举例一下吗。

如果是我们团队自己开发了一个抢票小程序那为什么不用 infra 的登录鉴权捏，我们这个就是为了团队后期项目做支持的，如果必须要有自己的用户表那大可不用 infra 作为 base 服务捏，但是比如校外有个项目涉及到本校的学生，想用我们的登录鉴权，那鉴权系统校验通过后（当然我们可以细分权限，如果只要最基础的信息或者某个应用的权限只能涉及到最基础的信息）可以把最基础的信息返回给他们，然后他们通过我们返回的信息和他们的用户体系处理逻辑，完善他们的用户信息

[interca]

鉴权指的是对接口访问权限做鉴权吗

鉴权不仅是对接口访问做权限校验，还有资源访问的控制，但是这个要看项目需求对粒度的控制了，比如你的身份是普通人员访问某张数据库表可能只有某些公共字段能返回给你，但是我的身份是管理员我就可以看到更多的字段更多的隐藏数据，当然目前现阶段应该不会把控这么严格，可以考虑先实现对接口做权限校验

那个有点不太懂，比如团队新开发一个抢票小程序，那他可能有什么用户表，票的表，那他还会依赖infra上的表吗，他们不是自己建立表吗，能举例一下吗。

如果是我们团队自己开发了一个抢票小程序那为什么不用 infra 的登录鉴权捏，我们这个就是为了团队后期项目做支持的，如果必须要有自己的用户表那大可不用 infra 作为 base 服务捏，但是比如校外有个项目涉及到本校的学生，想用我们的登录鉴权，那鉴权系统校验通过后（当然我们可以细分权限，如果只要最基础的信息或者某个应用的权限只能涉及到最基础的信息）可以把最基础的信息返回给他们，然后他们通过我们返回的信息和他们的用户体系处理逻辑，完善他们的用户信息

OK 了解了 还有一个问题就是比如用户访问团队新开发应用的某一个接口，是不是他要先带着之前生成的token来访问我们的infra服务，判断有权限，然后才能访问应用接口

[jettcc]

提问： token 拦截具体是根据什么拦截的，我的想法是目前有两种思路

一种是有两个 token 一个是携带权限信息的token会走鉴权，一种是普通 token ，在系统中使用的通用 token ，如果鉴权系统做权限校验，那gateway这里的 token 拦截就只是系统内部使用的普通 token 只有一个token就是携带权限信息的 token ，但是这样的话相当于鉴权也在网关做了

网关拦截就好

[jettcc]

改用session 策略, close