微服务架构的身份验证和授权

Question

我已经在Spring Boot中实现了微服务架构。所有服务都可以从前端访问。很少有微服务有两种类型的API-

1. 公共-（可从前端直接访问）
2. 内部-（用于服务间通信）

我已经实现了基于JWT的身份验证。但是我想知道如何为内部API实现身份验证？ 在内部API中，我们将不会获得JWT令牌。需要身份验证，因为有人可以模拟私有API。 对于身份验证，我们使用身份验证服务。所有其他服务都会在每次调用API之前对Auth服务进行身份验证。

Answer 1

需要身份验证，因为有人可以模拟私有API

虽然这可能是正确的，但攻击者已经需要已经在您的网络内部。

但是，假设您仍然需要安全的服务内通信，则可以查看service discovery来进行这种通信。服务注册平台，例如Eureka或Consul，将允许您设置服务发现。

Eureka通常在sprint引导应用程序中使用，并且相当轻巧，但偏重于AWS托管。

除了其他优点（例如配置管理，故障检测和负载平衡）之外，这些平台还使您能够保护服务内通信的安全。