序言
我们开发过程中注册在网关（APIGateWay）上的接口可以配置不同的认证模式（AuthMode），比较常见的是SSO单点登陆和Basic Auth，那么来看一下他们之间有什么区别。
单点登陆（SSO，Single Sign On）
最初的项目可能就是一个单系统的服务，一个服务中包含了许多功能，如下图，
后面为了降低各个功能之间的耦合性，提高各个功能的可扩展性，把它们拆分成多个子系统，当然这也对硬件基础设施有一定的要求，并且会增大系统的复杂度，但是好处也是有很多的，这个需要设计者去权衡，如下图，各个功能拆成了各种微服务，
单点登陆即在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。
HTTP协议是无状态的，登陆后其他所有子系统如何知道这个用户是已经登陆过的可信任用户呢？用户请求打到登陆服务器上后，登陆服务器会将用户提交的相关信息生成一个session，session是有过期时间的，在session存在于服务器端的时间里，下一次用户访问该系统时会带上上一次服务器端返回的sessionId存入Cookies（Cookies存储在客户端，Session存储在服务器端）中带入请求中，后面的请求则通过请求中的Cookies拿到的session信息和服务器端做对比来判断是否是已经登陆的用户。
如果禁用了Cookie，则可以通过token机制进行登陆，相当于第一次登陆用户名和密码后生成一个token给客户端，客户端后面的所有请求只需要携带这个token就可以了，不需要再进行登陆。举个简单例子，第一次登陆请求到登陆服务器，登陆服务器通过用户的用户名和密码生成一个token，然后把它存入到缓存Redis中，设置过期时间为30分钟，并把token返回给客户端。后面30分钟内，所有需要身份认证的请求URL携带token进行请求时就不需要进行身份认证，因为token中携带了认证信息。
HTTP基本认证（Basic Auth）
大部分Web服务都是在使用SSL（Secure Sockets Layer，安全套接字协议）和HTTP基本认证。HTTP基本认证就是使用用户名和密码的方式进行登陆，密码使用base64_encode加密，如下图，
这种认证方式每次请求都会提供用户名和密码，请求达到登陆服务器后，它会检查Headers中的 Authorization，从中解析出Username和Password，和服务器保存的进行对比，如果一致则通过，否则返回 401/403 状态码，表示客户端没有携带或携带了错误的认证信息。
权限错误码
登陆或鉴权常见的HTTP相应错误码有如下几种：
401
401表示用户需要认证信息，缺少有效的身份验证凭据。API需要有效用户，由请求中的Authorization标头确定。比如postman中在Auth中使用Basic认证方式发送请求时，headers头中会带有Basic认证方式的认证信息，如下图，
出现401错误码的原因是以下几种情况：
- 没有指定令牌
- 指定的令牌格式无效
- 令牌已过期
- 在极少数情况下令牌有效，但不适用于该API
403
403表示服务器理解请求但拒绝授权，与401不同的是，客户端的身份是服务器已知的，只是用户未被授权，用户尝试执行操作，但标识用户的令牌没有足够的权限来执行此操作，常用于提示用户缺少相应的权限。
出现403常见的原因有如下几种：
- 用户名密码验证通过，但IP超过最大数量限制，或者对某一IP拉进黑名单禁止访问。
- 服务器为防止泛洪攻击所做的限制，防止某一用户在短时间内发送大量POST请求；或者防止黑客使用代理IP进行爬虫而禁止某一用户访问该网站。
- 用户为该服务器的用户，但用户权限不足以访问该网站。
404
404是最常见的错误码，通常你的环境上没有部署服务导致找不到对应的API就会报404，表示服务器找不到请求的资源。
思考题：
Curl命令和Postman接口调用有啥区别？postman也可以像Curl命令一样建立SSE(Server-Sent Events)长连接吗？
CURL是一个利用URL语法在命令行下工作的文件传输工具，它支持文件上传和下载。POSTMAN也可以像CURL命令建立SSE长连接。
Curl命令参数：
-k：请求https时需要带上的参数，curl命令默认使用SSL证书验证，通过CA颁发的证书进行认证。
-L：访问永久跳转的页面。
-X：指定请求方式GET、POST、PATCH、DELETE，默认请求方式是GET。
-d：该选项为使用POST方式向server发送数据，可以省略-X POST。使用-d时，将使用Content-type:application/x-www-form-urlencoded方式发送数据。
-I：开启gzip请求。
-H：指定请求头。
-o：监控站点可用性。
curl -I -k https://es.b2b.10086.cn/
curl -X POST -d"data=123&key=456" http://www.jackyops.com/search -v
curl -I http://www.baidu.com/
参考链接：
1、Spring cloud gateway 详解和配置使用 - 知乎
1179
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
