獨立的OAUTH2服務器與資源API服務器的通信
[英]Stand alone OAUTH2 server communication with resource API servers
問題描述
鑒於我將創建一個OAUTH2身份驗證服務器。 鑒於我將擁有單獨的資源服務器，因此公開了REST API。
身份驗證服務器和API服務器之間的最佳通信實踐是什么？
要說明OAUTH2服務器將是一個代理，該代理對用戶進行身份驗證並將請求轉發到不是第三方的其他API服務器，而是在OAUTH2代理的幕后，依靠它來了解請求給定命令的代理（用戶）\\查詢。
最簡單的方法是，身份驗證服務器將在安全連接下轉發用戶ID（也與ACL規則一起存儲在每個API服務器上），並且訪問將僅限於請求從身份驗證服務器轉發到資源API服務器。 在這種情況下，身份驗證服務器將轉發用戶ID，但是在進行中間攻擊時似乎很容易接受（將API服務器上的防火牆配置為僅接受來自身份驗證服務器的請求）。 另一個問題是OAUTH代理的折衷，它自動授予來自它的任何請求。
是否有准備好的解決方案和模式來應對這種情況？ 謝謝！
1 個解決方案
解決方案1
1 2018-02-17 14:34:33
使用Google OAuth2授權服務器保護Spring RESTful API
[英]Secure Spring RESTful API with Google OAuth2 Authorization server
資源服務器如何使用oauth2中的令牌識別資源所有者？
[英]How can the resource server identify the resource owner using token in oauth2?
Java Spring獨立的Rest服務器-如何實現SSL \\ HTTPS？
[英]Java Spring stand alone Rest server - how to implement SSL\HTTPS?
Spring 安全性：將 OAuth2 聲明與角色映射到保護資源服務器端點
[英]Spring Security: mapping OAuth2 claims with roles to secure Resource Server endpoints
聲明:本站的技術帖子網頁，遵循CC BY-SA 4.0協議，如果您需要轉載，請注明本站網址或者原文地址。任何問題請咨詢:yoyou2525@163.com.