当公共不安全的微服务需要访问安全的微服务时，最佳实践是什么答案

【问题标题】：what is the best practice when public in-secured microservice need to access secured microservices当公共不安全的微服务需要访问安全的微服务时，最佳实践是什么
【发布时间】：2020-07-18 16:00:13
【问题描述】：

我有一个 SaaS 单体，我正在迁移到微服务 API。 9 个微服务中有 7 个由 JWT 保护。而其他两个微服务应该具有匿名访问权限，结果是从受保护的微服务中聚合而成的。

我只需要在每个匿名微服务上公开 1 个操作。

谢谢

【问题讨论】：

我目前公开了两种身份验证操作，一种用于使用，另一种用于服务。用户操作接受凭据并且服务操作需要一个密钥，身份验证服务正在根据该密钥生成 JWT
您在标题中说不安全的微服务需要调用 JWT 安全的微服务？如果这是真的，您也应该考虑对不安全的端点强制执行 JWT 安全性。如果端点需要 JWT 安全性来完成他们的工作，即使安全性只需要调用依赖项，那么您的端点也需要 JWT 安全性。

标签： api .net-core jwt microservices

【解决方案1】：

您可以使用client credentials 访问令牌来保护不安全和安全微服务之间的通信。然后，受保护的微服务将为每个请求接收一个访问令牌，可以是为用户颁发的访问令牌，也可以是为客户端颁发的访问令牌。

【讨论】：