微服務OAuth2 / OpenID Connect流

Question

我正在使用微服務體系結構構建一個新的應用程序平台，但我一直在閱讀很多有關要使用的各種身份驗證/授權的信息。

我打算使用OAuth2 / OpenID Connect，但只是為了確保我的假設正確。

我想知道我的流程是否適合處理我的應用程序的身份驗證/授權。 其次，對於我受信任的Apps，如何防止OAuth征求用戶的同意？

Answer 1

就協議/標准而言，為您所描述的系統使用OAuth 2.0和OpenID Connect是正確的決定。 它們正在積極使用中，擁有大量的庫和第三方提供程序支持，並且在設計它們時還考慮了當今系統所表現出的對HTTP的高度依賴。

在為每個應用程序選擇正確的流程方面， 該決定不受認為是第三方或受信任的應用程序的影響 ； 它不僅與應用程序的部署特性有關，還與應用程序是否要代表最終用戶或代表應用程序本身訪問資源有關。

檢查Auth0-我應該使用哪個OAuth 2.0流程？ 很好地說明了此決策過程。

第三方應用程序和受信任的應用程序之間的區別由身份提供者/授權服務器自行決定。 通常支持此功能，因此，如果應用程序受信任 ，則不會向最終用戶明確征求同意； 在這些情況下，將申請標記為跳過最終用戶同意被視為管理步驟，在此步驟中，某人單方面且在行政上決定已授予該申請同意，因此沒有必要向最終用戶征求同意。

如果您確實決定支持某些應用程序的管理同意，請記住，如果這些應用程序的特征不允許它們成為機密客戶端（支持對客戶端應用程序本身進行身份驗證的安全機制），或者可以通過其他方式確保客戶端身份， 然后惡意應用程序可能試圖偽造可信應用程序以跳過用戶同意步驟 。