Api Manager 是否应该代替订阅者处理后端身份验证？

Question

我们目前使用 WSO2 Api Manager 来访问一些后端。 问题是，消费者必须：

1. 首先向 API Manager (Oauth) 进行身份验证
2. 然后向后端 api 进行身份验证（无论采取何种安全措施，API Manager 提供的自行处理选项都很差）
3. 拨打电话

我觉得它很重：

• 许多电话只是为了打一个真正的电话。
• 放松 API 管理器应提供的“松散耦合”优势

你认为我们做得对吗？ Api Manager 不应该处理后端身份验证吗？

提前感谢您的帮助！

Answer 1

这取决于您要如何执行此操作。具有 Oauth2 保护和后端身份验证不是强制性的。这可以通过以下方式完成。

1. 如果您只想允许后端身份验证

然后您可以将身份验证类型设置为无。那么 Oauth2 将不适用。 - https://wso2.com/blogs/cloud/oauth-and-authentication-type-application-vs-application-user/

1. 您只能允许 Oauth2

如果您的后端不安全并且需要公开的方式，这是最好的选择。

1. 如果您需要两种身份验证

在某些情况下，您的后端被其他方使用，并且没有删除后端身份验证的选项。此外，您需要对 API 进行 Oauth2 保护，并使其在 API 网关级别安全。那么这是选项。

希望这很清楚。 WSO2 具有这些功能，您可以选择任何选项。