spring-cloud - Zuul - Api 网关认证

Question

前面几个服务想通过Spring Cloud介绍Zuul作为API网关。

我对身份验证有一些设计疑问。
身份验证将由 Spring Security 处理，它在 servlet 过滤器链中位于 Zuul 之前。

我的顾虑:

网关将位于许多服务的前面

某些服务可能会暴露不需要身份验证的端点

某些服务可能会公开需要 session ID 的端点，而某些服务可能会公开需要 token 的端点”，这是一个任意的不透明值(例如，如果您知道“难以猜测”的 url，则下载文件)
在 API Gateway/Spring Security 中，您可以使用特定的身份验证要求配置所有端点。

在管理 API 网关方面:

您如何强制实际的服务团队为每个下游服务提供所需的设置？

您如何允许网关中的频繁身份验证设置更改(根据服务需要)而不必停止整个网关？

谢谢，
阿德里安

Answer 1

我们正在使用 Spring Session 在位于 Zuul 边缘服务器后面的所有服务中复制 session 。 Zuul 将对填充用户凭据的用户进行身份验证，并将经过身份验证的用户插入 session 中。然后在所有服务中复制，每个服务负责自己的安全规则和设置。所以实际上，Zuul 所做的就是在 Spring Security 中查找用户，后端的服务正在执行安全规则，因为它们适用于他们的需求。这样，您可以独立更改每个服务，使网关只是一个哑代理。

这方面的一个很好的例子是关于 Spring Security and an Angular JS app 的 Dave Syers 教程。 .我也发了another question与此相关，其中包含我们如何做这件事的样本，这可能会有所帮助。