使用Spring Security保护REST微服务

Question

我正在寻找一个最佳实践和高效的解决方案，以确保通过REST与Web客户端应用程序通信的多个微服务的安全。

当前设置：

这些微服务是用Java制作的，带有Spring框架，并运行在Docker容器中。

客户端是一个Angular 2应用程序。

我创建了一个新的µ服务，它将充当“网关”，是我的web客户端和其他服务之间的唯一通信点。

我从远程身份验证API检索JWT加密令牌（让我们称之为LOCK）

我想的解决方案是：

我可以将登录JWT存储到cookie中，并将其发送到网关。

网关在发送给相关µ的最终有效负载中嵌入令牌，并在用户是新用户时将其存储到数据库中。

然后，微服务获取查询，在远程身份验证服务中检查用户角色，如果足够，它将返回200状态和结果。

编辑

我们需要在µServices配置单元中有一个RabbitMQ代理，这样才能使用WebSocket。为了像保护REST API一样保护WebSocket，我不确定我们是否仍然应该在网关中管理安全性，或者在微服务级别单独管理它。因为大量的消息将被传输，我们也许应该去掉一个中间件，它会减慢传输速度。

问题：

这是个好习惯吗？还有什么可以做得更好？你有没有什么能满足同样需求的例子？非常感谢你的分享

Answer 1

此外，您可能必须在微服务之间建立信任。您可以使用以下组合：

• 使用LDAP/OAuth2令牌
• 使用IP白名单
• CORS规则
• Https

Answer 2

我会通过以下方式做到这一点：

考虑到每个微服务都在apigateway的后面，即使是身份验证/授权微服务-

一旦请求到来，apigateway将与auth服务进行检查，auth服务将执行其所需的操作，以验证令牌和请求者是否合法，并使用200/401（/403）回复apigateway。

如果apigw获得200，它会将请求转发到该endpoint上的任何微服务，否则会返回其他状态。

如果我们考虑这种情况，并且通过apigateway进入您的环境的唯一切入点，我看不出您有任何理由保护其他服务之间的通信。

让我们考虑一下这个场景：

<代码>客户端-

1. 在客户端和apigw之间，我们有一个安全通话，因为显然我们将使用一个证书。。。因此，客户端将调用https://..../api/v1/cars

当然，您可以强制执行这一点，即用户可以访问的唯一用户信息是他自己的，等等，但这些都是自定义的启发性信息。