微服务架构中的 JWT 验证和公钥发布

Question

我们正在将 Web 应用系统重构为微服务架构。
我们决定使用JWT 对我们的用户进行身份验证，并在其中保存一些授权数据。例如，从令牌的有效负载可以推断出用户是否可以访问某个资源。

我们考虑两种选择：

1. 每个微服务都会询问签名服务（例如 API 网关）令牌是否有效。
2. 每个微服务都将持有公钥并验证令牌本身。

在管理公钥的情况下，网关服务如何将其公钥发布给所有其他微服务？

那里似乎有很多关于如何设计系统的信息，但没有关于如何实际实现这些东西的信息。

Answer 1

我建议不要使用选项 1，因为它会给签名服务增加很多不必要的负担。

签名服务可以共享其公钥。需要该密钥的服务可以在启动时简单地获取它并使用它来验证 JWT。话虽如此，您需要确保签名服务与它所说的一样，例如使用 HTTPS。