微服务实践目录，可以参见连接。
背景
[上一篇]()文章中整体介绍了用户管理会涉及到的方面，本篇文章主要介绍用户认证相关的方案与技术。回归之前的用词方式，针对认证实体的认证可以分为两类：认证实体软件认证和认证实体绑定硬件认证。
现在很多IoT方面的认证方式都是使用认证实体绑定硬件认证的方法进行认证的。还有很多硬件认证的方式基本上也是以这种方式进行认证的，如通信中的Wifi的Mac地址认证，4GLTE的IMSI认证。4GLTE协议中的终端认证使用通信模块的认证进行终端的认证过程。与IoT的方式都是使用对附属硬件的认证达成对整个认证实体的认证过程。
认证实体绑定硬件认证的方式还在其他很多方面用到，比如说银行办理网银时发放的硬件KEY。具体的交互方式如下图所示：
具体的技术可以参考身份认证技术和认证技术。本片文章不关注这种方式的认证，所以就不进行过多的说明。下面我们说明认证实体软件认证相关内容。
认证方向
在上篇文章中已经将用户扩展到认证实体，并说明了所有的认证过程都可以认为是对认证实体的认证过程。在进行深入的考虑，认证一般是存在双方或者三方的。双方是认证实体和认证服务，三方是认证实体、认证服务和业务服务。一般认为认证过程是对客户端的身份认证，但在有些情况下是对服务端的认证。还有一些情况下是需要进行双向认证的。
关于对服务端认证方面可以举一个例子：在一些情况下用户对某个网络服务是信赖的，在使用P2P服务的区块链技术中需要一种对节点认证的方式。对于节点发送的消息的有效性进行判断的过程也可以理解为对服务端的认证过程。对于DNS网络中DNS解析信息传递的过程，其实也可以建立这样的过程。以防止域名污染情况的发生。
对于使用对客户端认证的方式进行认证是一种非常通用的模式。双方认证的情况最常见的例子是HTTPS的双向认证机制。认证最终的目的都是为了鉴别对方的身份，在确认对方身份后既可以进行信任通信。
认证与数据交换方式
数据交换是指用户认证数据怎样从客户端传送到服务端，服务端的验证数据怎样传输给客户端。在这个过程中为了免受中间人攻击，认证过程中的通信管理非常重要。不同层面的解决方案都可以解决这个问题。例如：http通信层面为认证提供了多种认证信息传递的方式Basic, Digest and NTLM，在传输层提供了ssl，tls这些通信加密技术。
认证信息传递过程中尽量不要明文的进行认证信息传递，尽量通过加密算法进行认证信息传递。尽量使用加密通信进行认证过程通信。
认证方法
- 统一认证（SSO）
通过统一的认证中心认证用户。通常在企业内部建立一个统一的用户管理与认证中心，由认证中心负责用户的认证。方便企业内部统一管理用户。
- 第三方认证（OAuth，OpenID）
第三方保存用户认证方式，以及用户数据。通过互联网上的用户信息达到快速登录，降低复杂度的方法吸引客户使用系统。
- OpenAPI
在互联网上免不了和其他的公司有合作有交互。OpenAPI是在互联网上程序间的认证方式。
认证流程
认证信息生命周期：认证->认证信息保持->认证信息过期。认证信息保持会在Session一节中说明
https CA证书，OpenAPI的key和secret都是认证。
认证技术框架
- 直接认证方式
在使用、管理、存储用户信息的地方，直接进行认证。
- 中间认证方式
使用用户信息的地方和管理用户信息的地方，是两个地方。
- 第三方认证方式。
使用第三方的用户数据（通过数据访问接口的方式）获取用户数据。
技术
sso、openapi
Apereo CAS，Spring Cloud Security，JBoss 开源的 Keycloak 等（.NET IdentityServer4 ）。
2017.2.16 开涛shiro教程-第十七章-OAuth2集成（一）服务器端
2017.2.16 开涛shiro教程-第十七章-OAuth2集成（二）客户端
总结
认清认证过程中需要了解：认证方向、认证数据交换、认证方法、认证流程。才可以完整的理解认证过程。本文主要说明认证的过程，下一篇文章会针对认证过程中的技术进行比较和说明。
参考
- 概述
HttpClient三种不同的认证方案: Basic, Digest and NTLM
认证与授权——单点登录协议盘点：OpenID vs OAuth2 vs SAML
HTTP API 认证授权术
- 协议
W3C 宣布：WebAuthn 成为正式 Web 标准
OAuth 2.0
- OAuth2
JWT和Oauth2的区别和联系
10 分钟理解什么是 OAuth 2.0 协议
- 代码
