这是 Beta 探索课程，内容结构、实验步骤和示例可能会继续调整。

四层架构

分层思路

完整的用户认证与会话系统，可以拆成四层。每一层只解决一类问题，层与层之间通过明确接口衔接：

身份入口层   注册/登录、找回密码、SSO 登录、OAuth 登录
      │
      ▼
凭证与会话层 认证服务、会话服务、令牌服务（Access/Refresh/轮换）
      │
      ▼
联邦身份层   IdP 认证中心、OAuth 授权服务
      │
      ▼
风险与审计层  MFA 服务、风控引擎、设备管理、审计日志

每层做什么

1. 身份入口层

处理「谁来」：注册、登录、找回密码、SSO 登录、OAuth 登录。它只负责把「用户想要身份」的请求收进来，转给下层。

2. 凭证与会话层

处理「怎么证明」：认证服务验证凭证、检查账号状态；会话服务创建 / 续期 / 撤销会话；令牌服务签发 Access / Refresh Token，做轮换。

3. 联邦身份层

处理「跨系统 / 跨信任域」：IdP 认证中心负责全局会话和身份断言（SSO）；OAuth 授权服务负责 code / token / scope（第三方登录）。

4. 风险与审计层

处理「可不可信、发生了什么」：MFA 服务做二次验证；风控引擎评估风险、触发升级或阻断；设备管理支持查看与下线；审计日志记录全链路。

为什么这么分层

职责单一：改登录流程不用动会话存储，加 MFA 不用重写令牌服务。
信任有边界：风险与审计层独立，即使业务系统被攻破，风控和审计仍能兜底。
可扩展：新加一个业务系统，接入联邦身份层即可，不用重造轮子。

本课程对应的章节

身份入口层：第 2 章（账号密码登录）。
凭证与会话层：第 3、4 章（Token、会话）。
联邦身份层：第 5、6 章（SSO、OAuth）。
风险与审计层：第 7 章（MFA）及贯穿各章的风控、审计要点。

下一节看支撑这四层的数据模型——核心表怎么设计。