使用 Spring Boot 保护移动应用程序和微服务的 Rest API [关闭]

Question

我们正在使用 Spring Boot 开发一些微服务。这些 Rest API 将被移动应用程序使用。使用 Spring Boot 框架本身保护移动应用程序的这些 API 的最佳和推荐方法是什么。我没有为移动应用程序保护 api 的经验。 非常感谢您的建议。

需要考虑这些方面。

• 如何生成令牌
• 如何存储令牌
• 如何刷新和过期。
• 移动应用程序应何时接收令牌

谢谢

Answer 1

我建议使用现成的身份管理解决方案，例如开源 Keycloak 或付费提供商，例如 Auth0，而不是自行重新实现安全轮。两个命名选项都有简单的 Spring Security 适配器。

典型的方法是使用 OAuth2 和通过 PKCE (https://www.oauth.com/oauth2-servers/pkce/) 扩展的授权代码授予流程。