Home Sign Up Sign In
ccde8259
V2EX  ›  问与答

如何实现一个请求鉴权？

  •   
  •   ccde8259 · Aug 23, 2021 via iPhone · 2757 views
    This topic created in 1726 days ago, the information mentioned may be changed or developed.
    比如服务 Alice 通过 HTTP 请求服务 Bob，为了安全会设置一个请求鉴权的环节。
    想了解大家生产实践中的请求鉴权设计？
    似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候，Bob 对 Alice 的请求根据预共享密钥验证签名。
    这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下，证书验证是否能作为上述安全性的保证？
  • Bob
  • Alice
  • 请求
  • 验证
    11 replies  •  2021-08-23 13:06:59 +08:00
    seki
        1
    seki  
       Aug 23, 2021
    可以做 Key Pinning
    aijam
        2
    aijam  
       Aug 23, 2021
    jwt
    nutting
        3
    nutting  
       Aug 23, 2021
    可以借鉴 ssh 的机制
    err1y
        4
    err1y  
       Aug 23, 2021 via iPhone
    alice 使用自己的公钥签名数据后再用 bob 的公钥加密，详情可以看看 gpg 的签名并加密
    err1y
        5
    err1y  
       Aug 23, 2021 via iPhone
    @err1y 也可以看看我的这个项目的 readme 中的 2.3 rpc 设计
    err1y
        6
    err1y  
       Aug 23, 2021 via iPhone
    @err1y https://github.com/Erriy/third
    cheng6563
        7
    cheng6563  
       Aug 23, 2021
    配置启用 tls 客户端证书即可
    joesonw
        8
    joesonw  
       Aug 23, 2021
    mtls, 服务也会验证客户端的证书
    zhengsidao
        9
    zhengsidao  
       Aug 23, 2021
    tls 用于双向验证，验证服务器和 client 是不是正确
    通过 api gateway 比如 kong 来鉴别请求权限
    cpstar
        10
    cpstar  
       Aug 23, 2021
    HTTPS 只是在容器层判定了 Bob 是不是 Bob 的问题，但如果不信任容器层呢？所以也可以在业务层再做一次 Bob 是不是 Bob 的判定。
    Xusually
        11
    Xusually  
       Aug 23, 2021
    tls 客户端证书
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Solana   ·   5583 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 55ms · UTC 08:15 · PVG 16:15 · LAX 01:15 · JFK 04:15
    ♥ Do have faith in what you're doing.