授权和用户微服务设计

Question

我正试图从现有的应用程序中设计一个具有相当标准的用户管理的微服务:具有认证和授权，并存储用户数据。

我正在开发一个授权服务器来管理用户身份验证和授权，使用OAuth2作为授权。在另一方面，我必须存储用户的信息/配置文件。

问题：授权服务器应该管理：

• 授权和用户API？因此，其他微服务可以联系/me上的授权服务器以获取当前用户，也可以联系/user以获取完整的用户列表。
• 还是只有授权，我必须创建用户微服务？因此授权服务器只公开与用户相关的/meAPI，用户微服务会公开/user？

第一种解决方案稍微简单一些，但授权服务器将变得不那么通用（可重用性降低），因为用户应用程序数据模型将是其中的一部分（User 表的数据库数据模型）。

另一个要求是授权服务器应在授权之前检查用户是否存在。

没有用户自动创建，必须由管理员邀请用户才能访问。根据这一要求，第一个解决方案很简单，因为授权服务器可以访问用户数据库，但第二个解决方案授权服务器意味着：

1. 与用户服务共享数据库（哼不喜欢）
2. 使用REST API在授权前调用用户服务（例如）
3. 授权服务器应该维护最小的用户表（可以重命名为帐户），管理员不会在用户服务上创建用户，而只会在授权服务器上创建用户帐户

我认为1.解决方案已经出来了，但关于2.和3.的建议呢。？

3.首先似乎是最好的，但是如果我想切换到另一个授权服务器，例如像谷歌、Github、脸书等公共服务器（OAuth2）…安全性可能会受到损害，因为我们无法控制用户帐户的创建。

有什么反馈吗？

Answer 1

此处有多个选项，因此请提供更多详细信息。e、 g.您是否能够使用现成的授权服务器实现（开源）？你基于什么技术？

我能够轻松地集成IdentityServer（https://github.com/IdentityServer/IdentityServer3），并通过简单的几个接口实现将其插入自己的“用户”服务中。它还可能为您处理数据库的繁重工作（存储OAuth 2.0的所有数据，例如具有机密，身份验证代码等的客户端）。IdentityServer 允许您提供自己的链接，以便用户可以使用“注册”操作，您也可以让管理员接受或拒绝注册，因此只有接受的用户才能登录。

一般来说，按照 OAuth2.0 的 RFC 要求实现授权服务（有关详细信息，请参阅 https://www.rfc-editor.org/rfc/rfc6749）从来都不是小菜一碟。而是在需要时使用经过验证的解决方案。

问候！

Answer 2

据我所知，OAuth2只会给您授权。但是我看到了一些将OAuth2与另一种协议/技术相结合的解决方案，例如OAuth2 OpenID Connect（OIDC）。

为了回答你的问题，我的经验表明，最好将身份验证与授权分开，因为我可能是不同的服务（或提供商）。您可以使用Google或Github进行OAuth2，或使用AWS Cognito进行Auth2 OpenIDConnect。另一个具有这两种常见技术（OAuth2 OIDC）的已知提供商是Okta。