大规模微服务架构下如何缓存鉴权结果降低认证中心负载？

在大规模微服务架构中，最推荐的做法是在网关层引入分布式缓存（如 Redis）存储 Token 状态或用户权限信息，配合较短的过期时间，适用于读多写少且对实时性要求非毫秒级的场景。

先说结论：缓存鉴权结果能有效减轻认证中心压力，但必须处理好缓存一致性和安全性问题，不能简单粗暴地无限期缓存。

先定位：确认认证中心瓶颈是网络 IO、CPU 还是数据库查询
先做：在网关层实现 Token 解析与缓存校验，减少透传请求
再验证：监控缓存命中率与鉴权延迟，确保不影响业务可用性

网关层代码实现（Spring Cloud Gateway）

通过实现 GlobalFilter 拦截请求，优先查询 Redis。以下为核心逻辑片段：

public class AuthFilter implements GlobalFilter {
    @Autowired
    private RedisTemplate<String, String> redisTemplate;

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        String token = extractToken(exchange.getRequest());
        String cacheKey = "auth:token:" + parseUserId(token) + ":" + getFingerprint(token);
        
        return redisTemplate.opsForValue().get(cacheKey)
            .switchIfEmpty(Mono.defer(() -> validateFromAuthCenter(token)
                .doOnSuccess(info -> redisTemplate.opsForValue().set(cacheKey, info, 5, TimeUnit.MINUTES))))
            .flatMap(info -> chain.filter(exchange));
    }
}

缓存 Key 设计与过期策略

Key 设计需避免冲突，建议格式：auth:token:{userId}:{tokenFingerprint}。例如：auth:token:1001:abc123xyz。

Redis 操作示例：

SET auth:token:1001:abc123xyz "{\"roles\":[\"admin\"]}" EX 300

注意：缓存 TTL 必须小于 Token 有效期。若 Token 有效期 1 小时，缓存 TTL 建议设为 5-10 分钟，强制定期回源刷新，以便及时感知状态变更。

缓存失效机制（MQ 通知）

当用户登出或权限变更时，认证中心需主动通知网关层清理缓存。推荐使用消息队列（如 Kafka/RocketMQ）解耦：

认证中心发送消息到 Topic：auth.invalidate，Payload 包含 userId 或 tokenFingerprint。
网关层监听该 Topic，收到消息后执行删除命令：

DEL auth:token:1001:*

若无法使用 MQ，可采用 HTTP 回调通知网关集群，但需处理网关多实例广播问题。

防护缓存雪崩与击穿

为防止大量缓存同时过期导致认证中心压力激增（雪崩），设置 TTL 时增加随机值：

int ttl = 300 + new Random().nextInt(60); // 300-360 秒

针对热点 Key 击穿，可在查询缓存为空时加分布式锁，确保只有一个请求回源认证中心：

if (cacheValue == null) {
    if (redisTemplate.opsForValue().setIfAbsent(lockKey, "1", 10, TimeUnit.SECONDS)) {
        // 回源查询并写入缓存
    }
}

验证与监控

1. 监控认证中心 QPS：对比缓存上线前后的认证中心请求量，理想情况下应有明显下降。

2. 检查缓存命中率：使用 Redis 命令查看统计：

redis-cli INFO stats | grep keyspace_hits

3. 验证权限变更时效：修改用户权限后，观察业务侧何时生效。如果在缓存 TTL 内未生效，检查 MQ 消费日志。

4. 日志审计：检查网关日志，确认鉴权耗时是否降低，是否有频繁的缓存回源现象。

常见坑与排查

1. 缓存穿透：如果大量无效 Token 请求直接打到认证中心，缓存层无法拦截。建议在缓存中也记录无效 Token 的短 TTL 标记（如 TTL 60 秒）。

2. 敏感信息泄露：不要在缓存中存储密码或完整用户隐私信息，仅存储鉴权所需的最小权限集合（如 Role 列表）。

3. 本地缓存不一致：如果使用网关本地内存缓存，多实例网关之间数据不共享，可能导致用户请求不同实例时鉴权结果不一致，建议优先用集中式缓存。

4. 时钟 skew 问题：确保网关服务器与认证中心服务器时间同步，避免 Token 有效期判断误差。