跳到主要内容

服务端鉴权过滤器与用途隔离

同一个服务有两类请求凭据​

Agent-Up-Memory 的后端同时服务两种调用者：

  • 浏览器控制台：使用 AUM_SESSION Cookie，写操作还要通过 Origin 和 CSRF 校验；
  • 外部客户端：使用 Authorization: Bearer tokenId.secret，不能拿浏览器 Cookie 访问 MCP、自动召回或自动采集。

两者最后都会变成 AuthenticatedPrincipal，但通道不同：浏览器是 AUTHENTICATION_SESSION，外部客户端是 API_TOKEN。后续模块只看 principal 和 scope，不直接接触 Cookie 或 Authorization 字符串。

普通 /api/v1/**
  -> IdentityAuthenticationFilter（+20）
     -> 解析 Cookie 或 Bearer（二选一）
     -> authenticateSession / authenticateToken
     -> 写 request principal
     -> 浏览器写请求检查 Origin + CSRF

/mcp/v1/**
  -> McpAuthenticationFilter（+10）
     -> 只接受一个 Bearer，拒绝任何 Cookie
     -> authenticateToken
     -> requireCurrentCredential
     -> 写 MCP principal

上述过滤器之后
  -> ExternalConnectionPurposeFilter（+30）
     -> URL 用途必须和 profile.connection_type 一致
     -> 进入 Controller 或 MCP Server

身份过滤器顺序与用途隔离

付费内容提示

该文档的全部内容仅对「码力全开」项目实战&技术讲解 知识星球用户开放

加入星球，一次获得完整项目资料、全栈技术知识库和长期答疑服务。

100万+字全栈技术知识库深入讲解技术核心、数据库、中间件和分布式等内容
9套热门的实战项目持续更新的企业级项目覆盖高并发、微服务、数据中台 和 AI Agent 等方向
AI 技术知识大模型面试详解覆盖 AI 模型原理、Agent、RAG、MCP、Skills、Harness 等核心知识点
文档 + 视频两种讲解形式既能系统阅读，也能跟随视频理解核心业务

完整项目实战资料

每套项目均包含从 0 到 1 讲解文档核心业务讲解视频

从基础项目到复杂业务场景，项目资料会持续更新。

9 套项目
  • 01Nexus Agent AI 智能体
  • 02Nexus Agent Pro 完全版
  • 03Agent Up Memory
  • 04黑马点评Plus
  • 05大麦
  • 06大麦Pro
  • 07大麦AI
  • 08流量切换
  • 09数据中台

加入后还能获得

进入星球后，即可享受上述所有服务，保证不会再有其他隐藏费用。

从学习、面试到项目启动，都可以继续获得支持。

  • 1 对 1 解答项目和技术问题都可以提问
  • 针对性补充没有讲清楚的内容会继续补充
  • 面试与简历指导梳理回答技巧和项目亮点
  • 中间件云环境项目依赖可以直接接入使用
  • 面试后复盘被问住的问题可以继续交流
  • 远程问题解决项目启动问题可协助排查
知识星球二维码

扫码进入知识星球

  1. 打开微信，扫描左侧二维码，加入「码力全开」项目实战&技术讲解 知识星球
  2. 查看星球使用指导，获取完整项目讲解资料索引
解锁全部付费内容
🎁优惠