寒蝉 Hancic
认证与鉴权选择指南：JWT、OAuth 2.0、RBAC、ABAC、Keycloak 各自该出现的地方
一个服务刚上线，没用户，没登录。调用方都是内部系统，相互信任——IP 白名单就够了。 后来用户来了。要区分谁是谁。再后来有管理员、有普通用户、有只读用户。角色一多，权限判断就散在代码里——if user.role == 'admin' 写了二十遍，改一次要改二十个文件。 这时候你才开始看认证鉴权方案
一个服务刚上线，没用户，没登录。调用方都是内部系统，相互信任——IP 白名单就够了。 后来用户来了。要区分谁是谁。再后来有管理员、有普通用户、有只读用户。角色一多，权限判断就散在代码里——if user.role == 'admin' 写了二十遍，改一次要改二十个文件。 这时候你才开始看认证鉴权方案
