security - API 网关中的授权与微服务端点

Question

我正在尝试构建微服务架构。我了解了 API 网关的一些好处，例如:负载平衡、调用多个微服务并聚合结果、缓存管理等。所以我决定将它包含在我的系统中。

我的问题是我应该在网关层还是在每个微服务端点单独实现授权？例如，在网关上验证用户身份并以解密形式传递用户声明以用于每个服务调用的授权逻辑？

在调用每个服务之前授权一些聚合似乎是有意义的，并且可以节省处理时间。然而，授权逻辑确实是个别服务的关注点。

你有什么建议？

Answer 1

每个微服务端点。在API网关中实现授权会使你的系统僵化。如果在以后的任何阶段您必须分离授权逻辑(例如，内部用户、外部用户、开放 api)。这将很难合并。授权应该发生在每个 API 级别。