使用Akka-Http進行身份驗證

Question

我們正在開發一個iOS應用程序，用戶需要使用電子郵件+密碼（或手機號碼）進行身份驗證。 我們的后端由幾個使用Akka-Http的微服務組成。 它需要快速，可擴展，並發，並且身份驗證+授權應該適用於我們的多個服務。 我正在試圖找出使用哪種身份驗證方法。 Akka-HTTP目前提供Basic Auth和OAuth2的部分實現。

所以起初我們正在考慮基本身份驗證（太簡單且功能不夠），Oauth1（太復雜），所以我們轉向OAuth-2.0，因為它是一種標准。

然后我們考慮了AWS Cognito，因為它結合了Oauth-2.0和OpenID Connect，它提供了OAuth2缺乏的身份驗證機制。 http://www.thread-safe.com/2012/01/problem-with-oauth-for-authentication.html

然后我們意識到OAuth2僅用於使用第三方進行身份驗證 - 實際上我們不需要第三方身份驗證提供程序 - 也許我們需要自己完成，並且使用Cognito是一種過度殺傷，會在我們之外創建額外的api調用微服務...

所以我讀了一些關於創建我們自己的自定義身份驗證提供程序，使用WSSE規范： http ：//symfony.com/doc/current/cookbook/security/custom_authentication_provider.html我也發現這個例子使用Spray，但我是確定它與Akka-Http沒有什么不同：http： //danielasfregola.com/2015/06/29/how-to-create-a-spray-custom-authenticator/它看起來太簡單了，沒有令牌過期。 ..

所以我的問題是，我錯過了什么嗎？ 我應該選擇什么方法，在哪里可以找到它的例子？

我覺得我要進入圈子，我們必須從頭開始編寫我們自己的自定義身份驗證提供程序，這有點沒有意義。 畢竟幾乎每個人都需要身份驗證，它應該是一個標准。

Answer 1

我最近一直在使用SoftwareMill的akka-http-session庫，發現它簡單易用。 它支持基於案例類的會話，JWT，具有可插拔存儲的刷新令牌，使用頭和CSRF令牌以及一些用於路由的簡單指令。