GraphQL 网关级别或微服务级别的 JWT 解码？

Question

我有一个使用 GraphQL 的微服务架构。它有一个 GraphQL 网关，它使用模式拼接来组合所有 GraphQL 模式。

我打算按如下方式实现身份验证和授权：

1. 身份验证 - 令牌由第三方 (AWS Cognito) 验证
2. 解码 - 我想在网关级别执行此操作。这是一个巨大的好处。它将消除跨多个微服务的大量逻辑。这也使得迁移变得容易，以防我们需要更改提供者（Auth0？）。加号
3. 服务中的授权 - 所有服务必须管理的是授权和业务逻辑

这里有什么我遗漏的陷阱吗？这是个坏主意吗？

Answer 1

只要所有底层请求实际上都需要一个有效的令牌，这听起来像是一个很好的用于验证网关的用例。我要提醒的唯一一件事是不要太聪明地尝试将逻辑推到网关以避免长期耦合。例如，解码和验证 JWT 的签名在网关中是一件很棒的事情，因为您可能希望对所有路由执行相同的检查，但是尝试验证范围或执行任何每个路由检查最好在应用程序本身中处理.

就上下文而言，我目前在我的服务前面有一个 nginx 网关，它在传递 JWT 令牌之前检查它的签名，这让底层服务假定令牌是可信的，并防止错误的请求到达应用程序服务器。