微服务架构中的身份验证和授权

我有多种服务：

• 用户
• 发布
• 评论
• 认证方式
• GraphQL端点

并说它们像这样连接在一起：

所有服务均通过封闭网络上的gRPC进行通信，并且授权使用jwt令牌完成

方法1：graphql服务负责用户身份验证，并确保授权用户运行指定的过程。服务之间没有用户身份验证，但是有TLS身份验证。服务不执行任何授权检查。

方法2：每个服务都确保用户被授权运行特定的过程。例如，在需要签名且声誉超过15的帖子上投票。在这里，邮政服务责任是检查用户是否已登录（已验证）以及用户是否有权投票。由于每个过程调用都需要通过Auth服务检查用户身份验证和授权，因此这将导致大量开销。

有没有一种更好的方法可以保留方法2的安全性，却又像方法1那样产生少量开销？

-----更新-----

方法3：与方法2相同，但是用户身份验证仅在GraphQL服务中使用Auth服务进行。通过检查传递给Arround的元数据来完成授权。服务之间存在TLS身份验证。