这是一个创建于 1689 天前的主题，其中的信息可能已经有所发展或是发生改变。
比如服务 Alice 通过 HTTP 请求服务 Bob，为了安全会设置一个请求鉴权的环节。
想了解大家生产实践中的请求鉴权设计？
似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候，Bob 对 Alice 的请求根据预共享密钥验证签名。
这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下，证书验证是否能作为上述安全性的保证？
想了解大家生产实践中的请求鉴权设计？
似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候，Bob 对 Alice 的请求根据预共享密钥验证签名。
这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下，证书验证是否能作为上述安全性的保证？
 | 1 seki 2021 年 8 月 23 日 可以做 Key Pinning |
 | 2 aijam 2021 年 8 月 23 日 jwt |
 | 3 nutting 2021 年 8 月 23 日 可以借鉴 ssh 的机制 |
 | 4 err1y 2021 年 8 月 23 日 via iPhone alice 使用自己的公钥签名数据后再用 bob 的公钥加密，详情可以看看 gpg 的签名并加密 |
| 6 err1y 2021 年 8 月 23 日 via iPhone |
 | 7 cheng6563 2021 年 8 月 23 日 配置启用 tls 客户端证书即可 |
 | 8 joesonw 2021 年 8 月 23 日 mtls, 服务也会验证客户端的证书 |
 | 9 zhengsidao 2021 年 8 月 23 日 tls 用于双向验证，验证服务器和 client 是不是正确 通过 api gateway 比如 kong 来鉴别请求权限 |
 | 10 cpstar 2021 年 8 月 23 日 HTTPS 只是在容器层判定了 Bob 是不是 Bob 的问题，但如果不信任容器层呢？所以也可以在业务层再做一次 Bob 是不是 Bob 的判定。 |
 | 11 Xusually 2021 年 8 月 23 日 tls 客户端证书 |
Select Language