微服务应该是用户吗？
我们正在尝试确定授权微服务体系结构中用户的最佳方法，同时确保微服务的权限受到限制。我们的体系结构使用中央授权服务来处理JWT令牌的发行。 我们有以下要求： 应该限制用户执行某些角色。例如，用户只能创建/修改/读取他拥有的内容。 微服务应仅限于其所需的权限。例如，应该明确禁止只需要从另一个服务读取数据的微服务将数据写入该服务。 例如，假设我们有一个系统，用户可以在其中将图片上传到图像存储服务。我们有一个标记服务，可以自动标记带有位置的图片。用户只能CRUD他们自己的照片。标记服务可以从图像存储服务读取任何图像，但是不能修改/删除。 使用JWT令牌实现上述目标的好方法是什么？我们讨论过的一些解决方案是： 图像存储服务公开了2个API，一个在外部可用（给用户CRUD访问），另一个在内部可用（给内部只读访问）。似乎不灵活-如果另一项内部服务需要对所有图像进行读/写访问（例如，自动删除显式图像的访问），该怎么办？ 我们在用户的JWT中设置了两个权限，一个权限是CRUD_OwnImages，另一个权限是READ_ForAnalysis。标记服务可以查看用户是否具有READ_ForAnalysis权限，如果有，则发出适当的请求。我们还有另一个微服务，用于检查用户是否具有CRUD_OwnImages以便对用户自己的映像执行CRUD操作。这使每个微服务都有责任确保用户受限于他需要的操作。图像存储无法用这种方法来限制每个微服务，因此它可能容易出错和出错。 我们给标签微服务自己的用户，并以READ_ForAnalysis作为权限。然后，当加标签服务从图像存储请求图像时，将授予它们访问这些图像的权限，但禁止对其进行修改。用户的用户仅具有CRUD_OwnImages权限，因此他只能从前端检索和访问其图像。如果另一个服务需要对所有数据使用CRUD，则可以给它CRUD_AllData或类似的名称。我们喜欢这种方法，因为每个服务现在都负责其自己的数据（而不是在多个服务之间重复该逻辑），但是如果该服务同时需要用户权限和微服务权限怎么办？我们可以安全地发送两个JWT令牌（用户的和微服务的）吗？有没有一种方法可以安全地组合权限并通过发送？例如 如果更下游（需要2或3个微服务）需要用户信息，则会使问题更加严重。我们是否只是假设将单个微服务限制在它们自己需要的动作上，而不是将其明确化，这取决于单个微服务？