java - LoadBalancer 背后的 OAuth2 授权

Question

我在负载均衡器 (F5) 后面运行 2 个 OAuth2 授权服务器实例。我正在使用 JdbcTokenStore。一切工作正常，但有时我会收到错误“处理错误:InvalidGrantException，无效授权代码:XXXXX”。如果我只运行一个实例，我的服务工作正常；如果我运行两个实例，我的服务有时会失败。看来，如果负载均衡器在授权过程中混合对不同服务器的请求，一切都会失败。

我的问题是，我该如何解决这种问题？我应该在负载均衡器中使用stickysession吗？如果是，我什么时候才能通过 stickysession 确保高可用性？这是唯一的解决方案吗？

Answer 1

我想您正在使用已经实现的 oauth2 授权服务器。在这种情况下，您需要查明他们在身份验证时是否使用 session ，或者某些基于 key 签名的 token 系统。不同之处在于，当您使用 key 签名 token (例如带签名的 JWT)时，连接是无状态的。服务器仅使用签名 key 验证请求中的传入 token ，因此有关该连接的信息不必存储在内存/数据库中。请注意，两个服务器必须使用相同的签名 key ，以便身份验证在每个服务器中都有效。在这种情况下，您不需要在负载均衡器中使用粘性 session 。

您可以使用基于带有签名 key 的 JWT 的身份验证模型来实现自定义 oauth2 授权服务器。您可以实现 session 身份验证，但两台服务器必须使用共享 jdbc token 存储，因此每台服务器都知道对方的有效身份验证。否则，您将不得不按照您在答案中建议的方式使用粘性 session

例如，Oauth2 资源服务器基于带有签名 key 的 JWT。