我想通过Spring Cloud中的Zuul作为API网关引入一些服务。
我对身份验证存在一些设计疑问。身份验证将由Spring Security处理,在servlet过滤器链中位于Zuul之前。
我的担忧:
网关将位于许多服务之前
一些服务可能会公开不需要身份验证的端点
一些服务可能会公开需要Session Id和一些使用令牌的端点,即任意的不透明值(例如,如果您知道一个“难以猜测”的url下载文件) 在API网关/Spring Security中,您可以配置所有端点及其特定的身份验证要求。
在管理API网关方面:
- 如何强制实际的服务团队提供每个下游服务所需的设置?
- 如何允许网关频繁更改身份验证设置(根据服务需求)而无需停止整个网关?
谢谢, Adrian