https://xiongneng.me/tags/jwt/飞污熊小站Hugo 0.166.0 & FixIt v0.4.6-20260512073637-464c4659zh-CNyidao620@163.com (XiongNeng)yidao620@163.com (XiongNeng)XiongNengFri, 25 Sep 2026 02:16:47 +0000https://xiongneng.me/posts/java/springboot/sb4-oauth2/Sun, 20 Sep 2026 22:00:00 +0800yidao620@163.com (XiongNeng)https://xiongneng.me/posts/java/springboot/sb4-oauth2/Java<p>一家公司里，订单服务背后站着三个内部系统：物流系统查订单安排发货，报表系统拉数据做统计，对账系统定时核对金额。最早的接法是三方约定一个共享密码，每个系统调接口时都带上它。我接手这种系统时最怕的就是换密码：三个系统的配置、两份脚本、一个定时任务挨个改，改漏一个就出一批 401 告警。共享密码的要害在于「一台机器一个身份、一种权限」没有任何地方可以表达，全部调用方共用同一份凭据。OAuth2 的 client_credentials 授权模式解决的正是这件事：每个系统一个 client，一个 client 一组 scope，凭据过期自动换，接口侧只认 JWT 令牌本身。</p>