java - 如何验证微服务的请求源

Question

我有一个基于Spring的微服务，它向基于react.js的Web客户端应用程序和使用react-native构建的移动应用程序提供数据。应用程序托管在云上。

我想允许来自这 2 个客户端应用程序的 REST 调用并阻止任何其他请求源以保护我的应用程序。我正在考虑使用在每个请求中传递的 APP ID，但这并不能保护服务，因为任何拥有 APP ID 的人都可以入侵我的 REST 服务。有人可以建议解决此问题的最佳方法吗？

Answer 1

有多种方法可以保护端点，但最常用的是基于 JWT token 的授权

• 创建端点，例如/auth/api。
• 在应用登录过程中从身份验证端点(例如 auth/signIn)获取基于 JWT 的 token 。
• 从身份验证结果中提取 token 。
• 将 HTTP header 授权值设置为 Bearer jwt_token。
• 然后发送请求以访问 protected 资源。
• 如果请求的资源受到保护，Spring Security 将使用我们自定义的 Filter 来验证 JWT token ，并构建一个 Authentication 对象并将其设置在 Spring Security 特定的 SecurityContextHolder 中以完成身份验证进度。
• 如果 JWT token 有效，它将向客户端返回请求的资源。

请阅读 Spring JWT 中间件教程

另一种方式是Oauth2，您需要创建 Oauth2 服务器，该服务器充当授权服务器，其中客户端与 clientID 和客户端 Secret 相关联，并且您使用访问 token 批准访问。