微服务架构的认证和授权

Question

我已经在 Spring Boot 中实现了微服务架构。所有服务都可以从前端访问。少数微服务中有 2 种 API -

1. 公共 - （可从前端直接访问）
2. 内部 -（用于服务间通信）

我已经实现了基于 JWT 的身份验证。但我想知道如何为内部 API 实现身份验证？ 在内部 API 中，我们不会获得 JWT 令牌。需要身份验证，因为有人可以模拟私有 API。 对于身份验证，我们使用的是身份验证服务。所有其他服务在每个 API 调用之前调用 Auth 服务来验证请求。

Answer 1

需要身份验证，因为有人可以模拟私有 API

虽然这可能是真的，但攻击者需要已经进入您的网络。

但是，假设您仍然需要安全的服务内通信，您可以查看service discovery 来调解此通信。 Eureka 或 Consul 等服务注册平台将允许您设置服务发现。

Eureka 常用于 sprint 启动应用程序，相当轻量级，但偏重于 AWS 托管。

除了配置管理、故障检测和负载平衡等其他好处外，这些平台还可以让您保护服务内通信。