azure - 通过 oAuth2.0 保护 API 和通过入站策略验证 jwt 之间有什么区别？

Question

我对理解 oAuth2.0 和使用 azure APIM 中的入站策略验证 jwt token 之间的关系有点困惑。它们是否完全不同？或者一起应用时会产生哪些额外的安全性？如果我只是应用入站策略来验证 JWT token 而不使用 oAuth2.0 配置会怎样？

Answer 1

据我所知，使用 APIM 的 OAuth 2.0 授权来保护 API 的流程是:

1. 在 Azure AD 中注册应用并授权用户使用有效的 OAuth token 访问 API。
2. 该 token 会添加到 APIM 的 API 请求的授权 header 中。
3. APIM 可以使用 validate-jwt 政策验证该 token 。

这个Validate JWT策略用于对 APIM 中的请求进行预授权。

正如 Will 在评论中所说，validate-JWT 策略强制 JSON Web token 的存在和有效性来自指定的查询参数或 HTTP header 。

请参阅包含 practical workaround for configuring the JWT validation policy 的文章在产品级别、API 级别和所有 API 级别，这说明需要实现 OAuth 2.0 来更安全地保护 API。