1

Я пытаюсь понять архитектуру микросервисов, и у меня есть вопрос о том, как правильно авторизовать пользователя в Api Gateway или проверить его существование, если у меня есть отдельный микросервис пользователей для регистрации, входа в систему и выпуска токенов. Допустим, у меня есть два микросервиса: юзер сервис для регистрации, входа в систему и получения токенов и сервис заказов. У них есть свои базы данных. Также есть Api Gateway, который сейчас просто делает перенаправление.

У меня есть предположения:

  1. Для каждого запроса к шлюзу api делать отдельный запрос к юзер сервису и проверять там токен и роль пользователя, и только потом перенаправлять запрос в сервис заказа.
  2. Предоставить шлюзу Api доступ к базе данных пользователей для проверки токена и пользователя, а затем перенаправить запрос в службу заказа.
  3. Объединить Api Gateway и юзер сервис (думаю, это плохая идея). Или есть догадки получше?
18
  • 2
  • @tym32167, это конечно хорошо но есть одно но, логаут. При логауте токен удаляется с базы данных юзер сервиса, поэтому каждый запрос проверяет его на наличие в базе, но как это правильно реализовать в Api Gateway это уже проблема(
    – Mccree
    10 фев 2021 в 16:39
  • надо ли вообще хранить токен? Как вы запросы от Gateway перекидываете во внутренние сервисы? Они тоже токен проверяют? У вас есть оба такоена (аутенификации и продления)? Какое время жизни у токена? Если токен живет всего 5-10 минут, надо ли заботиться о логауте? Нельзя просто с клиента токен удалить и считать, что логаут выполнен?
    – tym32167
    10 фев 2021 в 16:45
  • 1
    Как и логин/пароль, верно? Если злоумашленник может видеть весь трафик между сервером и клиентом, то он видит все логины/пароль/токены. Для защиты от этого и прилоумали https
    – tym32167
    10 фев 2021 в 17:08
  • 1
    Спасибо за помощь)
    – Mccree
    10 фев 2021 в 17:29

1 ответ 1

2

Cтандартный способ решения проблемы "как не лезть в базу" - использование двух токенов (как в oauth2) - access token + refresh token.

Выделяете авторизационный сервис. Он должен в обмен на username / password выдавать два токена

Access Token - подписанный json (JWT), короткоживущий (минут 10), со вшитым временем действия. Он передается на каждом запросе. Для его проверки не нужно лезть в базу, достаточно провеки подписи и времени действия. Готовые API Gateway (Ocelot, Envoy) умеют проверять JWT, доставать из него атрибуты (id пользователя, роль, флаги доступа к определенным фичам, что угодно) и прокидывать их параметрами в микросервисы.

Refresh Token - хранится на стороне клиента, и на стороне авторизационного сервиса (в базе). При истечении Access Token (или близко к истичению) клиент может полезть с refresh token в авторизационный сервис и получить новый Access Token.

Вылогинивание пользователя в этой схеме - это удаление Refresh Token из базы авторизационного сервиса. Клиент просто не сможет получить новый Access Token. Время жизни Access Token подбирается под конкретные условия. Если это защита от кражи девайса - до минут 15 достаточно.

1
  • Хорошо, спасибо)
    – Mccree
    11 фев 2021 в 8:23

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.