使用WSO2 Identity Server和WSO2 API Manager保护后端

沼崎美

我有一个是通过WSO2 API管理上暴露的API,它是由OAuth2用户保护,以便客户端必须通过apikeytokencredentials为了获得对资源的访问。到现在为止还挺好。但是现在,我也想保护后端的端点。后端仅接受来自API Manager(IP安全性)的调用,但它是开放的,我的意思是,如果有权访问APIM主机的人进行了调用,则它将接受,因为它们之间没有身份验证。

我想使用Identity Server保护后端,但是根据APIM文档,支持的端点安全性是BASIC或DIGEST。

在SpringBoot后端中实现BASIC /摘要身份验证并将WSO2 Identity Server用作用户注册表的最佳方法是什么?这样,我可以将每个安全细节集中到一个解决方案中。

提前致谢。

尼彭·撒萨拉(Nipun Thathsara)

如果您使用基本身份验证或类似的身份验证,则后端可能必须对WSO2进行另一个API调用以验证该令牌。相反,您可以将自包含的JWT令牌从API管理器传递到后端。这样,后端就可以使用证书使用自己的API管理器来验证JWT是由它自己发出的,而无需依赖任何其他内容。

通过这种方式,您可以从JWT内容中验证调用是否由API Manager进行的,此外还可以验证最终用户。

Doc:https//apim.docs.wso2.com/zh-CN/latest/learn/api-gateway/passing-end-user-attributes-to-the-backend/passing-enduser-attributes-to-the-backend- using-jwt /?fbclid = IwAR1JT9DLOclmA-xw0Ev9C2Xrje5EDGrDBnmMkfDKMcbxTlCLf0swSPucMfA

本文收集自互联网,转载请注明来源。

如有侵权,请联系 [email protected] 删除。

编辑于
0

我来说两句

0 条评论
登录 后参与评论

相关文章