凭证溢出溢漏指因信号量管理失当导致的凭证高频复用、超期滞留或跨域泄露；需在发放/校验点埋点，通过Redis台账聚合识别高频复用、长驻未销、跨域漂移三类异常，并分级自动上报与 revoke 响应。
一、明确监控目标：什么是“凭证溢出溢漏”？
这不是内存溢出，也不是栈溢出，而是业务层的安全溢出：
溢出：同一凭证被高频、无节制地重复签发（如 1 分钟内为同一用户生成 50 个 access_token）；
溢漏：凭证脱离预期作用域（如前端 JS 意外暴露后端 admin token、跨租户 session ID 被混用、短期 token 被长期缓存）；
非稳健信号量：指用简单计数器、Redis INCR 或自增 ID 模拟信号量，但缺乏绑定主体、时效约束、审计日志、失败熔断等机制。
二、哨兵架构设计：轻量嵌入 + 多源关联
不重写框架，只在关键凭证发放/校验点埋点：
• 发放侧拦截：在 tokenService.issue()、JWTUtil.sign() 等统一出口，记录：
– 主体标识（user_id / client_id / tenant_id）
– 凭证类型与有效期（exp timestamp）
– 调用栈前 3 帧（定位是 API 层、定时任务还是后台脚本触发）
– 信号量键名（如 "sem:auth:uid_12345"）及当前值
• 校验侧旁路采样：在 filter / middleware 中对 5% 的请求做轻量解析，提取 bearer token 的 jti、iat、iss，并与发放台账比对是否“已注销但仍在用”“早于签发时间”“来自非授权网关”
• 存储用 WeakMap + TTL Redis：本地缓存用 WeakMap 关联凭证 ID → 发放元数据（防内存泄漏）；持久台账存 Redis，key 为 jti:xxx，value 含签发时间、主体、IP、UA、信号量键，设置 TTL = token 过期时间 + 30s
三、动态检测逻辑：三类可疑模式实时标定
每 30 秒扫描 Redis 台账，聚合判定：
• 高频复用：同一 user_id 在 60 秒内 issue ≥ 8 个未过期 token，且其中 ≥ 3 个共享相同 client_id 或 referer
• 长驻未销：token 已过期 5 分钟，但仍有校验请求命中（说明被客户端硬编码或缓存滥用）
• 跨域漂移：同一 jti 的 token，首次发放 IP 为 10.20.30.40（内网），后续校验 IP 出现在 203.208.xxx.xxx（境外代理）且 UA 不匹配
四、安全上报与闭环响应
不走常规日志管道，避免被日志注入污染：
• 分级上报：普通可疑项聚合后每 10 分钟推企业微信机器人；确认溢漏（如跨公网 IP + 过期 token）立即触发飞书告警并调用 revoke 接口
• 自动脱敏：所有上报内容中，user_id 做哈希截断（sha256(uid)[:8]），token 值只报 jti 和后 4 位
• 动态开关：通过配置中心控制开关、采样率、阈值，上线首周默认关闭凭证校验采样，仅开启发放侧台账，验证无性能抖动后再渐进开启
