API网关后面的微服务是否需要验证访问令牌？

我有一堆只能通过API网关从外部访问的微服务。

我的API网关设置为OAuth资源，并在将请求下游传递给一个或多个微服务之前验证令牌（检查签名等）。

虽然我的微服务需要令牌才能验证范围和声明，但现在是否还需要该服务来验证令牌？

似乎有些矫kill过正，但我​​无法在线找到有关此情况的任何建议。

在API网关上验证令牌是否足够好？还是最好的做法是稍后再进行验证？

如果有任何内部调用可以绕过网关，则要么验证每个微服务中的令牌，要么强制所有内部和外部调用都通过网关。

就个人而言，我也不信任内部电话。让它们通过网关，甚至通过防火墙规则限制流量。知道谁在跟谁说话，为什么。如果有人破坏了您的网络，这有助于限制您的攻击面。

这确实引入了单点故障，但是可以通过负载平衡服务器并在发生灾难性问题时配备故障转移服务器来减轻这种风险。

另一方面，如果每个服务都验证令牌，并且有关验证过程的任何事情都发生变化，则您有N + 1个服务要更新。