spring-security - Spring Cloud OAuth2 : Resource server with multiple Authorization server

Question

我们正在微服务架构中开发一个应用程序，该应用程序使用 Spring Cloud OAuth2 在多个 OAuth2 提供商(如 Google 和 Facebook)上实现单点登录。我们也在开发我们自己的授权服务器，并将在下一个版本中集成。

现在，在我们的微服务上，也就是资源服务器，我想知道如何处理多个token-info-uri或 user-info-uri到多个授权服务器(例如 Facebook 或 Google)。

Answer 1

这种情况一般是通过中间人来解决的； 您的资源服务器信任的单个实体，可用于标准化任何可能的差异，这些差异源于用户可能会向不同的提供者进行身份验证 .这有时称为联合提供者。

Auth0是这种实现的一个很好的例子。 披露 : 我是 Auth0 工程师。

Auth0 sits between your app and the identity provider that authenticates your users. Through this level of abstraction, Auth0 keeps your app isolated from any changes to and idiosyncrasies of each provider's implementation.

(重点是我的)

并不是说您的资源服务器在技术上不能信任多个授权服务器，只是将该逻辑从单个资源服务器移到一个中央位置将使其更易于管理和解耦。

还要记住，身份验证和授权是不同的东西，尽管我们习惯将它们放在一起。 如果你要实现你自己的授权服务器，你应该把它作为中心点 :

处理多种类型的身份验证提供程序

向下游资源服务器提供用户配置文件的规范化 View

提供访问 token ，您的客户端应用程序可以使用这些 token 向您的微服务发出授权请求