如果我的网关已经得到保护，为什么我必须保护我的资源服务？

Question

我正在阅读有关如何使用令牌中继模式保护我的 Spring Cloud Gateway 的文章。

https://spring.io/blog/2019/08/16/securing-services-with-spring-cloud-gateway

见https://static.spring.io/blog/bwilcock/20190801/demo.png

用户请求资源后，网关将他重定向到身份提供者的登录页面以进行身份​​验证。 成功后，身份提供者会将您重定向回原始请求的资源（网关），包括身份提供者提供的访问令牌。

所以现在网关是安全的。为什么资源服务器必须再次针对身份提供者验证访问令牌？网关不只是验证它吗？ 或者不是，网关只是在那里将访问令牌中继到资源服务器，以便他可以验证它？

Answer 1

基本上从不信任 JWT。

最后，资源服务器需要知道它在哪里可以找到公钥来验证它所获得的访问令牌的真实性。 UAA 提供了一个端点，资源服务器和网关在运行时都依赖该端点来执行此检查。端点在 application.yml 中为每个应用程序配置

资源服务器永远不能 100% 确定访问令牌是由身份提供者创建的，甚至是来自网关的。所以至少，你应该确保访问令牌是由身份提供者使用公钥签名的，由配置的端点公开。