19｜Python 认证授权实战：OAuth2、JWT 刷新与权限边界设计文章目录19｜Python 认证授权实战：OAuth2、JWT 刷新与权限边界设计摘要SEO 摘要目录认证与授权常见混淆Token 体系设计权限边界与资源模型FastAPI 简化示例认证授权流程图审计与风险控制指标对比示例案例复盘案例复盘二：刷新令牌缺少吊销策略导致会话风险放大术语注释面试高频问答FAQ附录：权限改造清单版权声明摘要认证授权是后端系统最容易“先凑合，后返工”的模块。常见问题包括 token 失控、权限穿透、刷新策略不清晰、越权审计缺失。这篇文章围绕 Python 服务，讲解 OAuth2/JWT 的工程化落地，重点放在权限边界与会话治理。SEO 摘要系统讲解 Python 服务中的认证授权设计，覆盖 OAuth2 流程、JWT 访问令牌与刷新令牌、权限边界、越权防护与审计记录。适合中大型业务系统安全改造。目录认证与授权常见混淆Token 体系设计权限边界与资源模型FastAPI 示例审计与风险控制案例复盘与 FAQ认证与授权常见混淆认证：你是谁。授权：你能做什么。很多系统把两者混在一起，导致“登录了就几乎全权限”。正确做法是身份与权限解耦，按资源粒度做授权。Token 体系设计推荐双 token：Access Token：短时效（如 15 分钟）。Refresh Token：长时效（如 7-30 天），可吊销。关键点：token 必须带sub、exp、scope。敏感操作要求最近认证（step-up auth）。刷新令牌应支持失效列表（黑名单）。权限边界与资源模型权限设计建议：RBAC（角色） + ABAC（属性）组合。接口级权限 + 数据级权限双层校验。管理员权限拆分，避免超管泛滥。错误示例：只校验“是否登录”，不校验“是否有权访问该资源”。FastAPI 简化示例fromfastapiimportFastAPI,Depends,HTTPExceptionfrompydanticimportBaseModel app=FastAPI()classUser(BaseModel):user_id:introles:list[str]defget_current_user()-User:returnUser(user_id=1,roles=["viewer"])defrequire_role(role:str):defchecker(user:User=Depends(get_current_user))-User:ifrolenotinuser.roles:raiseHTTPException(status_code=403,detail="forbidden")returnuserreturnchecker@app.get("/admin/report")defadmin_report(user:User=Depends(require_role("admin"))