1.2.1.2 范围界定

文档摘要

1.2.1.2 范围界定当“授权范围”变成生产事故的导火索：一个被忽略的字符串拼接陷阱与它的救赎凌晨两点十七分，监控告警刺破寂静——核心支付网关的 OAuth2 接口在 37 秒内连续返回 403 错误，错误率飙升至 98.6%。SRE 团队紧急拉起会议，日志里反复出现同一行报错：这不是权限校验失败，而是授权范围（scope）本身在传输链路中被悄然篡改了。更讽刺的是，这个故障发生在“范围界定”最基础、最不该出错的一环：字符串的构造与解析。我们总把“范围界定”想得太轻巧——不就是几个字符串拼在一起，用空格隔开，传给授权服务器吗？可正是这看似无害的空格，成了横亘在安全边界与生产稳定性之间的一道隐形裂隙。