使用 Apigee 和 Okta 的 Spring Boot

Question

我一直在使用https://github.com/tom-smith-okta/okta-api-center repo 探索 APIgee 和 okta 配置。这里 APIgee edge 充当https://okta-solar-system.herokuapp.com/ api 的网关，身份验证令牌是通过 okta 生成的。我的理解是https://okta-solar-system.herokuapp.com/ 没有任何 okta 身份验证强制执行。检查是通过apigee进行的。

如果我用公开托管的 Spring Boot 应用程序替换 https://okta-solar-system.herokuapp.com/，应用程序是否启用了 okta 安全性（例如：https://github.com/oktadeveloper/okta-spring-boot-oauth-example），或者我应该遵循与上述相同的程序并将令牌的执行委托给 apigee，而无需任何Spring Boot 应用程序的安全实施？

谁能告诉我应该遵循的标准实施方式是什么？

Answer 1

如果spring boot应用没有强制执行安全，有什么办法防止有人绕过Apigee API网关直接调用呢？

如果您成功地保护了 Spring Boot 应用程序，以便只有 API 网关可以与其通信（通过双向 TLS 连接、IP 允许列表等），您可能能够放弃服务级别的任何强制执行，但我建议在服务本身中进行一些授权检查。