2026-06-13 · architecture / security
【身份与访问控制工程】IAM 全景：为什么这是高价值赛道
从 2020 年 SolarWinds 到 2024 年 Okta 支持系统泄露，身份基础设施的安全失败反复证明一件事：IAM 不是 IT 支撑系统，而是安全架构的承重墙。本文建立现代 IAM 的全景地图——从认证协议、令牌体系、权限模型到身份治理与平台选型，给出 5 个贯穿全系列的核心问题。
身份系统很少在系统上线第一天就成为瓶颈，但它经常在业务做大之后突然变成全局卡点：企业客户要接入 SSO，合规要求审计留痕，B2B SaaS 要做多租户权限，移动端和 Web 端又要统一登录体验，安全团队还要补 MFA、Passkey、设备信任和特权账号治理。很多团队的问题不是“不懂认证”，而是“知道概念，却搭不出一套能长期演进的身份体系”。
这个系列共 20 篇，从协议、令牌、权限模型、身份平台、审计合规和迁移事故几个维度，把现代身份与访问控制体系拆开来讲清楚。不会停留在”什么是 OAuth 2.0”这种入门层面——每篇都包含真实企业场景、协议拆解、工程坑点和选型建议。
系列状态：已完成（2026-06-22）。20 篇全部可读。
如果你已经看过下面这些文章，可以把它们视为前置背景：
这些旧文偏“总览”和“架构选型”；新系列会把重点放到协议细节、工程坑点、平台实现和生产治理上。
把当前热点继续串成多页阅读，而不是停在单篇消费。
2026-06-13 · architecture / security
从 2020 年 SolarWinds 到 2024 年 Okta 支持系统泄露，身份基础设施的安全失败反复证明一件事：IAM 不是 IT 支撑系统，而是安全架构的承重墙。本文建立现代 IAM 的全景地图——从认证协议、令牌体系、权限模型到身份治理与平台选型，给出 5 个贯穿全系列的核心问题。
2026-06-13 · architecture / security
OIDC 是当下企业 SSO 的事实标准，但大多数实现只用了它 20% 的规范。本文从 OIDC 核心规范出发，拆解 Authorization Code Flow + PKCE 的完整交互、ID Token 的验证规则、Discovery 与 Dynamic Registration 的互操作性机制，以及 RP-Initiated Logout 和 Session Management 的工程实现细节。
2026-06-14 · architecture / security
SSO 只解决认证，SCIM 解决账号的生命周期管理。但 SCIM 2.0 的实现远不是调几个 REST API 那么简单：User/Group schema 的映射、Delta vs Full sync 的同步策略、Patch 操作语义，每个环节都有坑。本文从账号生命周期的四个关键事件出发，拆解 SCIM 2.0 的核心协议、同步模式、Schema 扩展，以及与企业 IdP（Azure AD、Okta）对接的实际工程经验。
2026-06-13 · architecture / security
OAuth 2.1 不是新协议，而是对 OAuth 2.0 的安全加固：废除 Implicit Grant 和 Resource Owner Password Grant，强制 PKCE 用于所有使用授权码模式的客户端，要求精确 redirect_uri 比对。本文从 PKCE 的密码学动机出发，拆解 OAuth 2.1 的授权码流程完整交互、Refresh Token 轮换与发送者约束、DPoP 令牌绑定，以及 DCR (Dynamic Client Registration) 和 RAR (Rich Authorization Requests) 的实际应用。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。