1

Доброе время суток!

Есть не ясность в следующем вопросе.

Есть сервис авторизации, реализует что-то типа протокола oauth2, немного упрощен, выдает по логину и паролю jwt.

Есть сервис, к примеру корзин, который позволяет управлять корзинами. В этом сервисе необходимо реализовать роли пользователей, допустим есть 2 роли: пользователь и админ. Пользовательская роль может управлять только своими корзинами, роль админа может управлять всеми корзинами.

Вопрос в следующем, как организовать разделение прав доступа?

На этот счет мне в голову приходит только одна идея, использовать openID connect. В сервисе авторизации регистрируем другие сервисы, описываем какими ролями обладает он и присваиваем к пользователю определенный сервис и роль. Затем сервис корзин получает запрос, валидирует jwt, и обращается к авторизации на endpoint userinfo для получение пользовательской информации и его ролей. На основании этих данных он решает давать доступ или нет. Т. к. enpoint userinfo публичный и не светить все роли разных сервисов, есть мысль передавать в запросе и секретный ключ сервиса. В этом случаи сервис авторизации отдаст роли пользователя только для текущего сервиса.

Является ли мой подход правильным и есть ли другие методы решения данной задачи. Так же интересен будет и чей-нибудь опыт.

4
  • Имеет значение, на чем вы пишите. Можно в jwt (при формировании) положить индийикатор пользователя). Потом когда пользователь будет пытаться получать данные и передаст токен, нужно будет расшифровать его, достать индийикатор и по этому индификатору понять какая у него роль 19 мар 2019 в 9:52
  • @ВиталийШебаниц думал об этом. Но существует опасность. JWT представляет из себя открытую часть в которой и будет хранится данный индикатор и подпись по которой можно понять валидный токен или нет. Следовательно злоумышленник может понять, что это не простой пользователь и начать целенаправленную атаку 19 мар 2019 в 10:08
  • Во первых данные хранятся в зашифрованном виде. А во вторых как по id пользователя можно догадаться admin он или нет 19 мар 2019 в 10:25
  • @ВиталийШебаниц В этом случаи сервис корзин будет знать о пользователях, что нарушает сервисную идеологию. Другой вариант сервис корзин будет спрашивать у сервиса авторизации о его ролях по id пользователя. Практически этот же механизм я описал в вопросе как один из вариантов решения. Или я чего-то не понимаю? 19 мар 2019 в 10:44

0

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Посмотрите другие вопросы с метками или задайте свой вопрос.