下载掌阅APP，畅读海量书库
立即打开
为了确保微服务不向公众开放，将以下安全模式应用到架构是很重要的，这样可以确保只有拥有正确凭据的已准予的请求才能调用服务。图1-14展示了如何实现以下3种模式来构建可以保护微服务的验证服务。
图1-14 使用基于令牌的安全方案，不用传递客户端凭据就能实现服务验证和授权
● 验证 ——如何确定调用服务的服务客户端就是它们自己声称的那个。
● 授权 ——如何确定是否允许调用微服务的服务客户端执行它们正在尝试进行的操作。
● 凭据管理和传播 ——如何避免客户端要不断地提供它们的凭据信息才能访问事务中涉及的服务调用。为实现这一点，我们需要了解如何使用基于令牌的安全标准，如OAuth2和JSON Web Token（JWT），来获取可以从一个服务调用传递到另一个服务调用的令牌，以对用户进行验证和授权。
什么是OAuth2
OAuth2是一个基于令牌的安全框架，允许用户使用第三方验证服务进行验证。如果用户成功通过验证，则会被授予一个令牌，该令牌必须与每个请求一起发送。
OAuth2背后的主要目标是，在调用多个服务来完成用户请求时，用户不需要在处理请求的时候为每个服务都提供它们的凭据就能完成验证。虽然第9章会介绍OAuth，但是Aaron Parecki编写的OAuth2文档仍然值得一读。