This topic created in 1712 days ago, the information mentioned may be changed or developed.
比如服务 Alice 通过 HTTP 请求服务 Bob，为了安全会设置一个请求鉴权的环节。
想了解大家生产实践中的请求鉴权设计？
似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候，Bob 对 Alice 的请求根据预共享密钥验证签名。
这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下，证书验证是否能作为上述安全性的保证？
想了解大家生产实践中的请求鉴权设计？
似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候，Bob 对 Alice 的请求根据预共享密钥验证签名。
这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下，证书验证是否能作为上述安全性的保证？
 |
1
seki Aug 23, 2021
可以做 Key Pinning
|
 |
2
aijam Aug 23, 2021
jwt
|
 |
3
nutting Aug 23, 2021
可以借鉴 ssh 的机制
|
 |
4
err1y Aug 23, 2021 via iPhone
alice 使用自己的公钥签名数据后再用 bob 的公钥加密，详情可以看看 gpg 的签名并加密
|
|
6
err1y Aug 23, 2021 via iPhone
|
 |
7
cheng6563 Aug 23, 2021
配置启用 tls 客户端证书即可
|
 |
8
joesonw Aug 23, 2021
mtls, 服务也会验证客户端的证书
|
 |
9
zhengsidao Aug 23, 2021
tls 用于双向验证，验证服务器和 client 是不是正确
通过 api gateway 比如 kong 来鉴别请求权限 |
 |
10
cpstar Aug 23, 2021
HTTPS 只是在容器层判定了 Bob 是不是 Bob 的问题，但如果不信任容器层呢？所以也可以在业务层再做一次 Bob 是不是 Bob 的判定。
|
 |
11
Xusually Aug 23, 2021
tls 客户端证书
|
Select Language