具有REST身份验证API的Apigee OAuth

Question

我已经有可以使用的服务，并且想使用Apigee向它们添加OAuth v2身份验证。 目前，我的服务使用REST身份验证。 这意味着访问令牌基于基本授权生成，然后保存在授权标头中的每个请求中。

我希望Apigee通过我的服务对用户进行身份验证。 根据Apigee文档，这应该是可能的。 但是我不知道Apigee应该如何在OAuth之前或之后从我的服务获取访问令牌？ 是否可以存储访问令牌并在需要时在后台刷新它？

Answer 1

看一下委派令牌管理 。 您可以调用服务，获取令牌并将其从后端获取的值传递给ExternalAccessToken标记，并将其存储在Apigee的Oauth令牌存储中。

随后的呼叫将根据Apigee中的令牌存储进行验证。

Answer 2

最简单的方法是使用Apigee生成OAuth令牌，并将后端令牌或后端凭据（取决于要求）存储在Apigee层的自定义令牌属性中。 在此处可以找到有关使用SetOAuthV2Info策略设置自定义属性的详细信息。 请注意，在验证令牌时，将在变量中自动设置自定义令牌属性，因此通常不必使用相应的GetOAuthV2Info策略。

作为令牌请求的一部分，您需要使用后端用户名和密码（或在后端标识用户的某种方式）。 然后，您将使用这些凭据来调用后端API以获取后端令牌。 后端调用成功意味着应该在Apigee层创建令牌，并且后端令牌将保存在自定义属性中。 该后端调用失败意味着该用户未被授权，也不应创建令牌（返回401 Unauthorized ）。

您提到需要在需要时刷新后端访问令牌。 我假设您的后端没有刷新令牌机制，并且想要获取新的后端令牌时需要重新提交后端凭据。

您可以使用后端来管理令牌的生存期。 您将后端令牌存储在自定义令牌属性中，将该令牌用于后端请求，然后当后端返回该令牌已过期时，您将使令牌无效（使用OAuthV2策略和InvalidateToken操作 ）并返回您的API的令牌到期回报。 然后，该应用可能需要通过再次收集和提供凭据来获取新的访问令牌。

如果要在Apigee层上管理令牌的生存期，则将在铸造令牌的同一调用期间，将后端基本身份验证凭据（以及后端令牌）存储在附加到令牌的自定义属性中。 最佳实践是在存储之前对其进行加密，然后在使用之前进行解密-这将需要自定义代码，可能使用使用诸如CryptoJS之类的加密库的JavaScript代码。

您的正常流程如下：

1. 向目标发出正常请求
2. 在目标或代理PostFlow中，检查目标响应以确定令牌是否已授权
3. 如果未返回未经授权的错误，请跳过以下步骤-无需重新提交请求
4. 使用存储在令牌自定义属性中的后端凭据来使用ServiceCallout请求新的后端令牌，该ServiceCallout使用用于请求和响应的新消息变量（例如sc_request和sc_response （如果已加密存储凭据，则在使用前解密凭据）
5. 获取新的后端令牌，并使用SetOAuthV2Info将其存储在令牌自定义属性中
6. 使用AssignMessage替换原始请求消息中的后端令牌
7. 使用ServiceCallout重新提交请求

目标请求之后的示例代码：

<Step>
  <!-- condition should be whatever matches the backend token expired condition -->
  <Name>decryptBackendCredentialsFromCustomAttributes</Name>
  <Condition>response.status.code == 401</Condition>
</Step>
<Step>
  <!-- create message to send to backend token request API -->
  <Name>createTokenRequest</Name>
  <Condition>response.status.code == 401</Condition>
</Step>
<Step>
  <!-- request backend token using ServiceCallout -->
  <Name>getBackendToken</Name>
  <Condition>response.status.code == 401</Condition>
</Step>
<Step>
  <!-- store backend token using sc_request.something -->
  <Name>updateCustomAttributesFromCallout</Name>
  <Condition>response.status.code == 401</Condition>
</Step>
<Step>
  <!-- replace token in original request -->
  <Name>updateRequestWithNewToken</Name>
  <Condition>response.status.code == 401 and sc_response.status.code == 200</Condition>
</Step>
<Step>
  <!-- call backend again using ServiceCallout and original request -->
  <Name>resubmitRequestCallout</Name>
  <Condition>response.status.code == 401 and sc_response.status.code == 200</Condition>
</Step>

AssignMessage示例：

<AssignMessage name="updateRequestWithNewToken">
  <AssignTo transport="http" type="request" createNew="false">request</AssignTo>
  <Set>
    <Headers>
      <Header name="BackendTokenLocation">{refreshedToken}</Header>
    </Headers>
  </Set>
</AssignMessage>