Oauth 2：Spring Boot-保护微服务的单独资源服务器

Question

对于我最近的项目，我使用springboot创建了一个单独的资源服务器。资源服务器的配置方式是，它将检查对API的2脚和3脚访问，并验证JWT令牌。资源服务器是一个在其容器中运行的独立的Spring Bootjar
我们使用Spring Boot创建了几个微服务，这些微服务是可执行的jar，在它们的容器中独立部署和运行。资源服务器将保护这些微服务中暴露的endpoint。为此，我在资源服务器中创建了一个RestController，其中暴露了endpoint，当请求进入时，它将调用微服务endpoint。例如
微服务。java-在端口8080上运行

@RequestMapping("/getUser")
public String getUserName(){
   return "xyz";
}

资源服务器-在端口8090上运行
ResourceServerController.java

@RequestMapping("/userInfo")
public String getUserName(){
 // calling above microservice using rest template
}

一个微服务中可能有多个endpoint，因为我们必须保护它们，所以在资源服务器的其余控制器中代理每个endpoint对吗？我不确定这是不是一种正确的方法。我们想到的另一种方法是创建一个jar资源服务器，并作为每个微服务的依赖项进行部署。这样，我们不需要在资源服务器的Rest Controller中代理endpoint
只是想知道使用单独的资源服务器保护微服务的最佳方法。

Answer 1

JWT是自包含的令牌，可以存储REST服务用户的访问范围。JWT由授权服务器发布。在资源服务器中，您应该验证REST服务用户的每个请求。如果资源服务器在spring boot上运行，则可以使用以下注释：

@PreAuthorize（“hasRole（'ROLE_VIEW'）”）

至于你的服务相互调用的部分，没有必要使用JWT，因为没有涉及REST服务用户。微服务可以通过简单的BasicAuth，CORS进行保护，或者将它们定位在一个网络中，而无需从外部网络访问

Answer 2

不建议使用共享库选项。微服务的巨大好处是独立性，如果你这样做，那将是折腾的。

一个更好的选择是看看是否可以基于范围提供对API的访问。这样，当您的授权服务器发布JWT令牌时，它会为用户发送所有适用的范围。

然后，在您的资源服务器中，您可以使用Spring Boot中的以下注释启用对微服务的访问

   @PreAuthorize("#oauth2.hasScope('read')")

另一种方法是，您可以使用角色创建角色和预授权。

如果上述选项不起作用，则您当前遵循的基于代理服务的方法非常好。您应该考虑的唯一方面是查看JWT令牌验证是否可以移动到相应的微服务，以便保护您的所有服务。

同样，当你实现微服务时，代码复制是非常好的，如果这是你主要关心的，不要犹豫在每个服务中添加相同的逻辑。对于微服务，复制比错误的抽象要好