使用 Spring Security 保护 REST 微服务

Question

我正在寻找一种最佳实践和高效的解决方案来保护通过 REST 与 Web 客户端应用程序进行通信的多个微服务。

当前设置：

这些微服务是用 Java 制作的，带有 Spring 框架并运行到 Docker 容器中。

客户端是一个 Angular 2 应用程序。

我创建了一个新的 µService，它将充当“网关”并且是我的 Web 客户端和我的其他服务之间的唯一通信点。

我从远程身份验证 API 检索 JWT 加密令牌（我们称之为 LOCK）

我正在考虑的解决方案：

我可以将登录 JWT 存储到一个 cookie 中，然后发送到网关。

网关将令牌嵌入到发送给相关 µService 的最终有效负载中，如果用户是新用户，则将其存储到数据库中。

然后微服务获取查询，在远程身份验证服务中检查用户角色，如果足够，则返回 200 状态和结果。

编辑

我们需要在我们的 µServices 配置单元中加入一个 RabbitMQ 代理，这样才能使用 WebSocket。为了以与保护 REST API 相同的方式保护 WebSockets，我不确定我们是否仍然应该在网关中管理安全性，并且可能在微服务级别自行管理它。因为很多消息会传输，我们也许应该去掉一个会减慢传输速度的中间件。

问题：

这是一个好习惯吗？有什么可以做得更好？您是否有任何满足相同需求的示例？非常感谢您的分享和想法。

Answer 1

我会这样做：

考虑到每个微服务都在 apigateway 后面，甚至是身份验证/授权微服务 -> 让我们简称为 auth。

一旦请求到来，apigateway 会与 auth 服务进行检查，auth 服务会执行所需的操作以验证令牌和请求者是否合法，并以 200/401(/403) 回复 apigateway。

如果 apigw 得到 200，它将请求转发到该端点上的任何微服务，否则返回其他状态。

如果我们考虑这种情况，并且认为它是通过 apigateway 进入您的环境的唯一入口点，我认为您没有任何理由保护其他服务之间的通信。

让我们考虑一下这种情况：

client -> calls POST /api/v1/cars

1. 在客户端和 apigw 之间我们有一个安全的调用，因为显然我们将使用证书......因此客户端将调用 https://..../api/v1/cars
2. 请求到达apigw，它解密请求
3. 得到jtw
4. asks auth -> 这个返回 200
5. 将请求转发给CarsMicroservice
6. Cars 微服务信任该请求，因为它知道其他人已经对 JTW 签名进行了解密，因此可以安全地假设其中的任何信息都是合法的
7. 如果 carsMicroservice 需要一些特定于用户的信息，例如这是用于创建新车的帖子，出于某种原因，我们需要一个用户名，而不是使用 JWT 令牌中的 subject 字段，即用户的 uuid -> 汽车关联，所以当请求到达 carsMicroservice 时，它​​将DECODE 有效载荷，获取用户 uid，要求 userMicroservice 返回有关具有该 uid 的用户的所有信息。这种通信不需要安全，因为它是在所有必要的安全检查之后在内部完成的。

当然，您可以强制用户只能访问他自己的用户信息等，但这些都是自定义启发式的。

Answer 2

此外，您可能必须在微服务之间建立信任。您可以使用以下组合：

• 使用 LDAP/OAuth2 令牌
• 使用 IP 白名单
• CORS 规则
• https