B10 認證與授權

回主 Roadmap → Backend Roadmap

認證（你是誰）和授權（你能做什麼）是後端最容易出安全事故的地方。這一章的素材主要來自我自己的 micro-service proto：Kong 在 gateway 層驗 RS256 JWT、後端只信 header、事件驅動的 token 撤銷。

本章文章

#	主題	連結	stage
34	把 JWT 驗證 offload 到 API Gateway：後端不碰 token 的信任邊界	JWT offload 到 API Gateway	🌿
40	token 驗不過的三個原因：aud、kid、iss，用 Keycloak 重現	token 驗不過的三個原因	🌿

編號依本章 ROADMAP，一旦配出去就不重排；其餘題目（Session vs JWT、權限模型、token 撤銷、SSO、service-to-service auth……）在計畫中，寫出來就往這張表加。