在服务之间传递OAuth访问令牌可以吗？

Question

在SSO/OAuth/microservices的上下文中考虑以下场景：

1. 用户使用OAuth的隐式流成功登录到Web应用程序。
2. Web应用程序从服务A和服务B请求一些数据，并传递用户的访问令牌来授权这两个请求。
3. 服务A还调用服务B（传递相同的访问令牌！）以构建对初始Web App请求的响应。

现在，是否可以将用户的访问令牌从服务A传递到服务B？

或者服务A应该使用“客户端凭据”授予来获得自己的访问令牌来授权对服务B的调用？

更新：
请假设两个服务都属于同一个组织，并且都信任同一个授权服务器。此外，这两个服务都位于同一个API网关后面，该网关验证访问令牌。

Answer 1

我发现了以下三种选择：

>

如果每个微服务都在验证令牌，那么我们可以传递相同的令牌。但问题是，在这两者之间，相同的令牌可能会过期。

如果我们使用client_credentials授权，那么我们有两个问题：一个是，我们需要在下一个微服务中发送用户名/id。另一个是，我们需要请求两次——第一次是为了获取访问令牌，第二次是为了实际调用。

如果我们只在API网关中（而不是在微服务中）进行令牌验证，那么我们需要从API网关在每个微服务中发送用户名。微服务的实现需要改变以接受这个参数/头。

Answer 2

我的看法是，如果您有两个不同的服务信任同一个IDP（STS），那么您可以让服务A请求令牌，然后您可以将同一令牌传递给服务B，并让服务B再次验证令牌。传递令牌是可以的，因为您不希望用户再次登录以进行另一个服务调用。

此外，这取决于服务设置的方式。如果服务A需要来自服务B的一些数据来向用户提供数据，那么我们应该传递相同的用户令牌。我不认为服务应该有他们的访问令牌。

使用用户令牌确实有助于识别每个服务级别的声明和数据访问。因此，最好在将数据发送给用户之前传递用户令牌并让每个服务验证令牌。

Answer 3

这取决于谁在控制Web应用程序，服务A和服务B。如果它们都由同一方运行，则传递令牌没有问题，因为它位于同一安全域内。

但是，如果例如服务B由第三方运行，那么事情就会变得有问题，因为服务B的管理员可以获取访问令牌并调用服务A，就好像它是您的Web应用程序一样，可能会访问它不应该访问的资源。

您还将注意到，如果服务A和服务B归您以外的2个不同方所有，您的Web应用程序还应分别获得两个不同的访问令牌来调用服务A和服务B，以防止相同的安全问题。

所以答案实际上是：这取决于谁在控制什么，即令牌是否跨越管理/安全域。