如何实现一个请求鉴权？

[ccde8259]

比如服务 Alice 通过 HTTP 请求服务 Bob，为了安全会设置一个请求鉴权的环节。
想了解大家生产实践中的请求鉴权设计？
似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候，Bob 对 Alice 的请求根据预共享密钥验证签名。
这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下，证书验证是否能作为上述安全性的保证？

[seki]

可以做 Key Pinning

[aijam]

jwt

[nutting]

可以借鉴 ssh 的机制

[err1y]

alice 使用自己的公钥签名数据后再用 bob 的公钥加密，详情可以看看 gpg 的签名并加密

[err1y]

@err1y 也可以看看我的这个项目的 readme 中的 2.3 rpc 设计

[err1y]

@err1y https://github.com/Erriy/third

[cheng6563]

配置启用 tls 客户端证书即可

[joesonw]

mtls, 服务也会验证客户端的证书

[zhengsidao]

tls 用于双向验证，验证服务器和 client 是不是正确
通过 api gateway 比如 kong 来鉴别请求权限

[cpstar]

HTTPS 只是在容器层判定了 Bob 是不是 Bob 的问题，但如果不信任容器层呢？所以也可以在业务层再做一次 Bob 是不是 Bob 的判定。

[Xusually]

tls 客户端证书