authentication - 将解码后的 JWT 有效负载传递给微服务

Question

我们正在更改应用程序身份验证架构以切换到 Json Web Token。

实际上，传入请求首先通过 API 网关，该网关将请求分派(dispatch)到我们堆栈的各种微服务。

每个请求中传递的 JWT 的身份验证和验证都是在网关中完成的。

身份验证后，您将使用 JWT 做什么？

1. 将其“按原样”传递给后续微服务？
2. 在网关中对其进行解码，然后仅将解码后的负载传递给服务？

我看到这两种解决方案的优点和缺点:

1. 优点:我们始终保留标准的身份验证 http header 。缺点:我们必须对每个服务中的 token 进行解码。

2. 专业版: token 已解码并可直接在服务中使用。缺点:我们必须使用非标准 http header 来传递解码后的有效负载。

在这种情况下有什么“标准”方法吗？

你的意见是什么？

谢谢!

Answer 1

按原样传递 JWT。解码的开销可以忽略不计，但您可以使系统更加安全，以防您的网关因某种原因被绕过。或者您可能决定将来直接与您的微服务通信。