考虑在SSO/OAuth/microservices的背景下,以下情况:
- 用户使用OAuth的Implicit Flow成功登录Web应用程序。
- Web应用程序使用用户的访问令牌向Service A和Service B请求一些数据以授权两个请求。
- Service A还调用Service B(传递相同的访问令牌!),以便构建响应初始Web应用程序请求。
现在,从Service A传递用户的访问令牌到Service B是否可以?
还是应该Service A使用"客户端凭据"授予来获取自己的访问令牌,以授权对Service B的调用?
更新:
请假设这两个服务都归同一组织所有,并且都信任同一个授权服务器。而且这两个服务都在同一个API网关后面,该网关验证访问令牌。