分布式系统中如何进行权限校验比较好？

Question

如题，在项目中，单独有个系统作为权限系统，现在的做法是每次请求业务系统，都会在业务系统的拦截其中，把请求的URL传过去权限系统，来做校验，校验发起请求的用户是否有该权限。

或者也可以从权限系统那里获取该用户的所有权限到业务系统中做校验

无论哪种做法，感觉中间都可以篡改，不感觉很不安全

想问一下在分布式系统中如果进行权限校验比较好，谢谢前辈

Answer 1

楼主的问题与权限无关，纯粹是接口调用的安全性。一般做法有：

1. 内容明文传输，但加上校验码，校验码由双方约定的一个密钥生成，篡改者无法生成正确的校验码。

2. 使用约定密钥加密解密整个传输内容。

Answer 2

登录后请求权限系统，将返回的权限菜单等信息放入缓存（自己用Map实现或Nosql，建议Nosql集群。要注意菜单有更新，则先清空用户的redis数据，再将最新的信息同步到redis，redis没信息就从数据库中取），再返回Java Web Token（包括时间戳、标识等）。

项目安全点就用Https，Spring-Security（访问接口权限、防CSRF），每个接口都要验签，token加时间戳等。

Answer 3

你这个有点像OAuth2.0解决的问题