V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX 提问指南
ccde8259
V2EX  ›  问与答

如何实现一个请求鉴权?

  •  
  •   ccde8259 · 2021-08-23 08:25:56 +08:00 via iPhone · 2048 次点击
    这是一个创建于 948 天前的主题,其中的信息可能已经有所发展或是发生改变。
    比如服务 Alice 通过 HTTP 请求服务 Bob,为了安全会设置一个请求鉴权的环节。
    想了解大家生产实践中的请求鉴权设计?
    似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候,Bob 对 Alice 的请求根据预共享密钥验证签名。
    这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下,证书验证是否能作为上述安全性的保证?
    11 条回复    2021-08-23 13:06:59 +08:00
    seki
        1
    seki  
       2021-08-23 08:35:26 +08:00
    可以做 Key Pinning
    aijam
        2
    aijam  
       2021-08-23 08:58:22 +08:00
    jwt
    nutting
        3
    nutting  
       2021-08-23 09:00:42 +08:00
    可以借鉴 ssh 的机制
    err1y
        4
    err1y  
       2021-08-23 09:17:39 +08:00 via iPhone
    alice 使用自己的公钥签名数据后再用 bob 的公钥加密,详情可以看看 gpg 的签名并加密
    err1y
        5
    err1y  
       2021-08-23 09:20:02 +08:00 via iPhone
    @err1y 也可以看看我的这个项目的 readme 中的 2.3 rpc 设计
    err1y
        6
    err1y  
       2021-08-23 09:20:15 +08:00 via iPhone
    cheng6563
        7
    cheng6563  
       2021-08-23 09:36:08 +08:00
    配置启用 tls 客户端证书即可
    joesonw
        8
    joesonw  
       2021-08-23 09:54:07 +08:00
    mtls, 服务也会验证客户端的证书
    zhengsidao
        9
    zhengsidao  
       2021-08-23 11:40:43 +08:00
    tls 用于双向验证,验证服务器和 client 是不是正确
    通过 api gateway 比如 kong 来鉴别请求权限
    cpstar
        10
    cpstar  
       2021-08-23 11:47:41 +08:00
    HTTPS 只是在容器层判定了 Bob 是不是 Bob 的问题,但如果不信任容器层呢?所以也可以在业务层再做一次 Bob 是不是 Bob 的判定。
    Xusually
        11
    Xusually  
       2021-08-23 13:06:59 +08:00
    tls 客户端证书
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   2721 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 26ms · UTC 15:38 · PVG 23:38 · LAX 08:38 · JFK 11:38
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.