security - 各种微服务中 JWT 的共享签名 key

Question

我有各种微服务。我已经使用 JWT 实现了安全性。每个服务都通过在所有服务之间共享的 key 来验证 JWT token 。

在所有微服务之间共享相同的 JWT 签名 key 可以吗？

我无法在 API 网关上实现此功能，因为我必须使用某些库，这需要在每个微服务中触发 spring security。

Answer 1

是的，您需要共享 key 才能使 JWT 安全/正确地运行。

我建议使用公私 key 签名方法并按值传递 JWT。这意味着您将获得只有您的网关需要知道的私有(private)签名 key 和公共(public)验证 key 。

然后，您可以将验证 key 分发到所有微服务。这可以是您通过部署执行的操作，或者您的微服务可以使用某种刷新周期并与网关一起发布您的签名 key 。前者更安全，后者更能 self 修复。

这可能有用:JWK .