如何正确使用Express网关进行Web应用程序的身份验证？

Question

一般来说，我对微服务和api网关的概念相当陌生。我试图理解api网关在使用许多微服务的现代web应用程序中所起的作用。我一直在阅读express gateway的文档和教程，但对于web应用程序如何使用像express gateway这样设置的api网关执行身份验证，我有点困惑。

我的网络应用程序将有多个微服务可以与之对话。我认为，在我所有的微服务前面放置一个API网关可以使每个微服务不必担心用户/请求是否经过身份验证，因为如果微服务正在与它对话，这意味着API网关已经验证了请求是有效的用户。我的理解正确吗？

假设我认为api网关充当其他微服务的看门人的想法是正确的，我接下来的问题是如何执行它的细节。

这是否意味着所有用户创建和身份验证都由api网关执行？这意味着我将没有自定义用户创建/登录微服务？或者我是否有一个可通过api网关公开访问的自定义用户创建微服务，该服务在创建时会在api网关中创建用户帐户？用户信息现在是否由我的微服务复制在某个数据库和Express网关自己的存储中？我想我的总体困惑是api网关将身份验证/用户创建的角色完全从Web应用程序自己的微服务中带走，还是您仍然需要这两个部分？

我以为我自己的身份验证微服务会首先验证用户，然后与api网关一起生成有效的短期令牌，但阅读有关在Express网关中创建用户或应用程序帐户以进行身份验证的内容让我对每个角色感到困惑。

Answer 1

为了全面了解API网关在基于微服务的解决方案中的作用，我建议大家看看我几个月前做的这个演示。这应该能澄清一些事情。

我对此的理解是否正确？

是的，你明白了。如果你看一下视频，你实际上也可以在实践中看到这个概念。

至于存储，这要看情况而定。

Express Gateway提供身份服务的子集，如用户、应用程序和凭据。对于大多数应用程序使用来说，它们已经足够好了，但是您可能会发现自己需要使用外部服务，比如Auth0。

现在，撇开功能不谈——数据存储在哪里取决于你。您可以将部分数据保存在Express Gateway中，将部分数据保存在自己的数据库中，或者完全保存在Express Gateway中。这里没有好的或坏的策略。