如何验证来自不同身份提供商的访问令牌

Question

我有2种不同的登录方式

• 最终客户或外部用户
• 开发人员或内部用户

---

最终客户或外部用户将在企业网关上登录该应用程序。 此登录对于多个应用程序是通用的，并且将使用反向登录 代理以加载请求的应用。

开发人员将使用应用程序网关登录应用程序。

---

最终用户已经通过身份验证，他将在请求中嵌入访问令牌。我们如何验证此访问令牌？令牌是由身份服务器在企业级别生成的。

内部用户将被重定向到登录页面。他将在应用程序级别通过身份服务器登录。

有没有办法，我可以在应用程序级别代理身份服务器以验证企业身份服务器生成的令牌。

Answer 1

对于企业用户，您可以让反向代理服务器设置特殊的标头以指示请求来自最终用户。如果反向代理发送JWT，则您的应用程序可以在本地对其进行内部检查。如果反向代理发送不透明的access_token，则您的应用程序将必须远程检查令牌。