如何安全地生成可由 Auth 实例独立验证的 session 令牌

Question

我目前正在使用 Rust 和 Tonic 制作身份验证 gRPC 微服务。 简单的想法是我的服务会生成一个令牌，以后可以使用它来引用回用户 ID。 我将此令牌和用户关系保存在 redis 数据库中，因此我可以同时运行多个这些身份验证服务。 我目前正在像这样生成我的令牌：

// Create a session for a username
pub fn create_session_id(username: &String) -> String {
    // Generate unique ID
    let id = Uuid::new_v4();

    // Hash the ID and username for a unique session token
    let mut hasher = Sha256::new();
    hasher.update(id.to_string() + username);

    // Return hexadecimal string encoding of hash
    format!("{:X}", hasher.finalize())
}

我将是第一个承认它有点原始的人。 我的问题是，没有什么可以阻止有权访问该数据库的潜在攻击者插入他们自己的带有关联用户 ID 的任意令牌。 这意味着我必须能够验证我的令牌来自我的身份验证服务。 如何生成一个 session 令牌，该令牌可以由我的任何一个身份验证实例独立验证，而不会使其易于伪造。

我曾考虑过实现 OAuth2，但我正在努力将其与 gRPC 微服务架构集成。

任何帮助都将不胜感激。