AK/SK - tag - 沐木https://oldletter.cn/tags/ak/sk/AK/SK - tag - 沐木Hugo -- gohugo.iozh-cnWed, 22 Apr 2026 00:00:00 +0000数据开放平台架构设计（三）：鉴权与访问控制https://oldletter.cn/posts/dp-03-auth-and-control/Wed, 22 Apr 2026 00:00:00 +0000mumuhttps://oldletter.cn/posts/dp-03-auth-and-control/

上一篇： 数据开放平台（二）：SQL 转 API 引擎

数据开放平台把数据变成 API 给外部调用，安全问题是第一位的。谁都能调不行，调了不该看的字段也不行，更不能让某个调用方把数据库连接池打满。

这一篇聊三个问题：怎么认证调用方身份、怎么隔离不同租户的数据、怎么控制调用频率。

一、AK/SK 签名认证

认证方案有很多种，为什么选 AK/SK？因为数据开放平台的调用方通常是服务端应用，不是浏览器用户。服务端对服务端的认证，AK/SK 是更成熟的方案，AWS、阿里云、腾讯云的开放 API 全用这个。

核心概念

  • Access Key (AK)：调用方的身份标识，公开的，放在请求头里
  • Secret Key (SK)：签名密钥，保密的，不在网络上传输
  • 签名 (Signature)：用 SK 对请求内容做 HMAC-SHA256，服务端验签

为什么 SK 不直接传？因为网络传输可能被中间人截获。签名的好处是：即使签名被截获，攻击者也无法反推出 SK，而且签名是和请求内容绑定的，换个请求签名就失效了。

签名流程

AK/SK 认证的关键是两端对同一份规范化请求做签名，服务端不接收明文 SK：

sequenceDiagram participant SDK as 调用方 SDK participant GW as API 网关 participant Auth as 鉴权 Handler participant Store as 凭据存储 participant Ctx as 请求上下文 SDK->>SDK: 规范化方法、路径、参数、时间戳、Nonce SDK->>SDK: 使用 SK 计算 HMAC SDK->>GW: 携带 AK、签名、时间戳、Nonce GW->>Auth: 透传认证头 Auth->>Store: 用 AK 查询 SK 摘要或密钥材料 Store-->>Auth: 返回调用方与租户信息 Auth->>Auth: 校验时间窗口与 Nonce Auth->>Auth: 重算签名并比较 Auth->>Ctx: 写入应用、租户、权限范围

调用方发起请求时：

]]>API 鉴权实战（一）：AK/SK、API Key、RBAC 与统一认证授权架构设计https://oldletter.cn/posts/api-auth-01-aksk-rbac/Tue, 10 Sep 2024 00:00:00 +0000mumuhttps://oldletter.cn/posts/api-auth-01-aksk-rbac/

作者：林 | 系列：API 鉴权实战 | 适合读者：Java 后端/架构师

本文代码使用 Lombok 简化 POJO，所有 getter/setter/builder 均由 Lombok 自动生成。

<!-- pom.xml -->
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <scope>provided</scope>
</dependency>

一、背景：为什么要做 API 鉴权

对外暴露 API 时，两个核心问题绕不开：

  1. 调用方是谁？（认证，Authentication）
  2. 他能做什么？（授权，Authorization）

简单的内部系统可能用一个 API Key 就够了。但当系统开始支持多租户、第三方接入、AI 开放平台、文件上传、额度控制时，单一的鉴权方式撑不住。你需要一套完整的体系：从密钥管理到权限判断，从缓存设计到上下文传递。

本文从更基础的 API Key 讲起，逐步构建到 PDP 策略决策点，把认证授权的全链路打通。

二、五种鉴权方式详解

2.1 API Key

原理： 给每个调用方分配一个唯一的密钥字符串，请求时放在 Header 里，服务端查库校验。

适用场景： 内部服务间调用、快速原型、低安全要求的公开 API。

不适用场景： 对外开放的 API，API Key 是静态的，明文传输，一旦被截获攻击者就能冒充调用方。

]]>