這是Web服務與多租戶數據庫交互的好方法嗎？

Question

我試圖使我的Web服務標識特定的客戶端數據以JSON形式返回。 我不確定這是正確的方法，並且我會建議您。

當前的工作方式是：

1. 具有所屬公司名稱的用戶的數據庫表。
2. 登錄后，身份驗證服務將在令牌有效負載中向JWT令牌頒發帶有company_id的令牌。
3. 客戶端發送帶有令牌的HTTP請求，此后，服務將驗證令牌的有效性，然后特定路由通過WHERE company_id = company_id_in_token SQL返回數據。

我遇到的危險信號是：

1. 在令牌有效載荷中包含用戶數據。 SSL會否定這一點，但是我擔心設計不好。
2. 必須在每個表中都包含company_id列以進行過濾。

拜托，我請你把我的一個撕掉。

Answer 1

如果您參考OpenID規范，則說明您發送了id_token，但對其進行了簽名以供以后驗證。 同樣，如果可以使用upn或sub索賠，則可以從此數據推斷租戶。 但是，如果所涉及的user代表另一個租戶工作，則需要特殊的標頭來推斷該租戶，示例性上下文租戶可以是包含上下文中該租戶的標頭。

如果有“租戶ID”列，那么在核心業務對象表中有一個“租戶ID”列是一個好習慣。 在表中沒有依賴於核心業務對象的租戶id列，因為它本身沒有傳達任何意義。

HTH