• 亚林
    2019-03-04
    这节课很重要,这节课波波老师提到了自己对软件的理解,关注三个点:总体架构,数据模型和接口模型。其他都是浮云。

    作者回复: 嗯,这个三个很关键。

    
     1
  • 西兹兹
    2018-12-28
    波波老师,
    关于数据模型这块,角色和scope有些疑问:
    前置条件:
    1、角色权限有RBAC模型,基于角色的权限管理系统, user role permission,其中user和role是多对多的关系;
    2、我的系统里已经有了 auth_user auth_role auth_user_role auth_role_permission auth_permission表;

    问题:
    1、实践中是把oauth2的表换成使用我原有的表? 还是保持两种表并行?
    比如我的叫auth_permission, 然后也保留oauth_scope表;
    2、spring security的权限指的是角色,oauth_scope里放的是权限;
    spring security的具体权限控制,是使用角色还是使用权限呢?
    oauth2的具体权限控制,是使用角色还是使用权限呢?
    3、课程里的数据模型没有体现出role scope user的多对多关系?
          是处于oauth权限控制逻辑和传统的RBAC权限模型分开两套逻辑去考虑的吗?
    4、oauth_user表和auth_user表是否整合成使用auth_user表? 还是两张表做冗余同时持续维护?
    展开

    作者回复: 我的oauth2服务器重点是流程和一个简易实现,目的是方便学员理解big picture,这个离生产级还有很远距离。这个服务器在权限控制这块也比较简单,实际使用可根据业务需要进行定制扩展,你的扩展方案就是一种,因为权限这块每家做法不同,所以oauth2协议本身也没有明确规范(也无法规范),留给用定制扩展。

    
    
  • 冰封无名
    2018-12-15
    上面的架构图中包含了鉴权服务,在比较大点到系统中,授权和鉴权是不是应该不同的微服务?感觉这里的用户注册,登录,退出接口面向的使用者不一样?注册接口面向的是第三方应用,登录和退出接口面向的是资源拥有者?

    作者回复: 我的架构图仅是简化演示案例,实际生产大系统,可根据需要将授权和鉴权服务分开。如果是对外开放场景,client注册主要面向第三方应用,登录用于授权码或简化模式,面向资源拥有者。

    
    
我们在线,来聊聊吧