microservices - API网关和微服务认证

Question

API 网关和微服务的工作原理。

谁能解释一下带网关的微服务架构的基本流程。我找不到合适的答案。

假设我们有一个在不同实例上运行的身份验证服务器和客户微服务，并且在我们有一个 API 网关的所有服务之前。

我的问题是。

当用户尝试使用用户名和密码登录时，API 网关调用auth server 并将access token 返回给用户。

然后用户尝试访问在单独实例上运行的特定 url(/customers - 客户微服务)。API 网关做什么？

1. 使用身份验证服务器验证 token 并获取用户 ID 并将请求传递给客户服务和用户 ID ?

或

1. 验证 token 并将请求传递给客户微服务使用访问 token ?客户微服务负责检查用户 ID(对 auth 服务器进行 HTTP 调用)？

Answer 1

我认为最常见的做法是同时使用API​​网关作为安全网关，这意味着API网关负责SSL终止和 token 验证。如果 token 验证成功，您可以将用户 ID 或用户 API key 作为 header 并将请求转发给微服务。此外，您还可以决定在 API 网关上不仅执行身份验证还执行授权(通常在 API 管理解决方案的帮助下)。

关于您的选项 #2 - 我认为验证 token 2 次毫无意义。最佳做法是在边缘执行安全验证，因为在验证失败的情况下，您使用的资源更少(更早拒绝)