我正在尝试了解微服务的架构，并且我有一个关于如何正确授权 Api 网关中的用户或检查其是否存在的问题，如果我有用于注册、登录和令牌颁发的单独用户服务。 假设我有两个服务：一个用于注册、登录和接收令牌的用户服务以及一个订购服务。他们有自己的数据库。
我有猜测：
还是有更好的猜测？
【问题讨论】：
标签： c# .net-core authorization microservices api-gateway
我认为你有很多方法可以做到这一点。
我可以告诉您如何使用 AWS 中的无服务器架构来做到这一点（就像我正在做的那样）：
您可以创建服务 (lambdas)、配置 JWT 授权方（API 网关），并将授权方用于您的函数，并可以选择为每个函数定义所需的权限（范围）。无需任何自定义代码即可做到这一点。
here 你可以看到关于它如何工作的更好解释
您也可以编写自己的授权函数，用于验证请求。
附言API Gateway 可以缓存结果，因此无需为每个请求调用您的授权方。
不知道你是想自己管理基础设施还是使用云提供商的一些服务，但我认为它至少可以为你提供如何设计这种东西的线索。
【讨论】：
我会做一些假设，说你在谈论 JWT 令牌，并且授权是使用 OAuth2 完成的。
用户认证完成后，中间有一些步骤，用户最终将拥有一个 JWT 令牌。这个 JWT 令牌内部包含 3 个部分，其中之一是签名。此签名是加密的，没有密钥就无法解密，而 JWT 的其余内容是纯文本。令牌的内容与签名一起在授权服务器上使用密钥进行签名。任何拥有密钥的人都可以阅读该消息。此密钥也是识别谁是令牌发行者的一种方式。这样你就可以说你信任这个令牌，因为它是由你信任的人发出的。令牌中的任何更改，如果没有重新加密，将导致令牌无效。令牌还包含授权/特权。
请注意，提到的“密钥”可能会因加密算法而异。
基于此，您无需针对数据库用户检查每个请求。
为了更好地理解，请查看 OAuth2 协议（可能还有 OIDC）。
还有https://www.taithienbo.com/how-can-you-trust-a-jwt-to-be-authentic/
【讨论】：