asp.net-core - 在 JWT token 中传递租户 ID 是一个好习惯吗？

Question

我正在构建一个 Multi-Tenancy Web 应用程序，我将为所有租户提供 1 个应用程序和 1 个数据库。

我一直在阅读不同的技术来将租户 ID 从服务器传递到客户端，反之亦然，用于我的 REST 请求/响应，似乎更适合我的是在 JWT token 中传递 Tennat id 因为我赢了我的租户没有不同的域并将其传递到 X-TENANT-ID 似乎不安全，因为任何人都可以更改它(任何有关此的信息将不胜感激)。

那么，在 JWT Token 中传递租户 id 是一个好习惯吗？除了其他选择(在 X-TENANT-ID header 中传递租户 ID)之外，还有什么更好的方法可以做到吗？

Answer 1

我将它作为声明放入 JWT token 中。
您也可以在 URL 上传递它。如果您查看 Azure DevOps REST API，它会在其中包含/{organisation}/。然后根据 URL 验证声明。
我倾向于两者兼而有之。将它放在 URL 中可能有助于日志记录，如果被授予匿名访问权限也有帮助。
我正在使用 Auth0 生成 token ，老实说，支持 Multi-Tenancy 应用程序的选项很糟糕，并且无法扩展。支持用户访问具有不同权限的多个租户是一项挑战。如果我坚持使用 Auth0，我的计划是为每个客户端生成唯一的角色并将用户分配给他们，然后在 JWT token 中包含权限和租户 ID。我会为每个租户发布一个 JWT。