使用刷新令牌作为提供给客户端的唯一外部访问令牌

Question

我现在正在实施基于微服务的架构。我在我的 UsersService（用于身份验证和授权的微服务）中使用FastAPI JWT Auth 来生成令牌，并在所有其他微服务中使用基本的 JWT 验证工具，以确保 JWT 是合法的（包括直接Revoked Tokens Redis 的访问权限）。

目前，我正在使用建议的架构，带有访问和刷新令牌。

我正在考虑不将 JWT 访问令牌直接暴露给客户端，而是实施一个 API 网关，在每个请求时将刷新令牌转换为 JWT .然后将 JWT 传递给内部微服务以确保边界内的安全性。

为此，客户端只需要访问刷新令牌，因为常规 JWT（生命周期极短）仅用于在内部对用户进行身份验证和授权。我计划在这些 JWT 中包含所有权限和范围信息，而刷新令牌将只有一个 user 有效负载。

我有两个问题：

1. 这种架构会起作用吗？安全吗？
2. 是否有推荐的 Python 框架来实现这样的 API 网关？

非常感谢！ ????

Answer 1

这并不安全，因为将刷新令牌发送给浏览器意味着接收刷新令牌的客户端可以在不通过您的网关的情况下请求自己的访问令牌。

更好的方法是只在客户端使用会话 cookie（我假设您的项目中有浏览器）。

看看这个视频 https://www.youtube.com/watch?v=lEnbi4KClVw

刷新令牌仅供请求它的客户端应用程序使用，通常将其提供给其他客户端/应用程序是一种不好的做法。

如果您只想进行纯服务到服务的通信，您应该考虑使用客户端凭据流程，此流程不使用任何刷新令牌，也不涉及任何人类用户。也许这就是你所追求的？然后每个客户端都可以获得自己的访问令牌。