b站黑马Spring Security视频笔记
分布式系统认证技术方案:
流程描述:
-
用户通过接入方(应用)登录,接入方采取OAuth2.0方式在统一认证服务(UAA)中认证。
-
认证服务(UAA)调用验证该用户的身份是否合法,并获取用户权限信息。
-
认证服务(UAA)获取接入方权限信息,并验证接入方是否合法。
-
若登录用户以及接入方都合法,认证服务生成jwt令牌返回给接入方,其中jwt中包含了用户权限及接入方权
限。 -
后续,接入方携带jwt令牌对API网关内的微服务资源进行访问。
-
API网关对令牌解析、并验证接入方的权限是否能够访问本次请求的微服务。
-
如果接入方的权限没问题,API网关将原请求header中附加解析后的明文Token,并将请求转发至微服务。
-
微服务收到请求,明文token中包含登录用户的身份和权限信息。因此后续微服务自己可以干两件事:
-
用户授权拦截(看当前用户是否有权访问该资源)
-
将用户信息存储进当前线程上下文(有利于后续业务逻辑随时获取当前用户信息)
-
流程所涉及到UAA服务、API网关这三个组件职责如下:
- 统一认证服务(UAA)
它承载了OAuth2.0接入方认证、登入用户的认证、授权以及生成令牌的职责,完成实际的用户认证、授权功能。 - API网关
作为系统的唯一入口,API网关为接入方提供定制的API集合,它可能还具有其它职责,如身份验证、监控、负载均
衡、缓存等。API网关方式的核心要点是,所有的接入方和消费端都通过统一的网关接入微服务,在网关层处理所
关方式的核心要点是,所有的接入方和消费端都通过统一的网关接入微服务,在网关层处理所
有的非业务功能。