spring cloud 微服务如何做好安全？

[qfdk]

最近研究 spring cloud 微服务系列. 明白的是 每个微服务都能独立使用. 现在有以下问题不是很明白，注册中心用的 eureka，上面注册了个主控端 和 N 个服务端， 主控端可以调用服务端，服务端也可以独立调用. 那么问题来了…… 有什么方法可以使服务端只是被主控端调用 而不是每个人都能调用？ 就是两者之间需要什么来鉴定一下权限？还是需要在服务端做一个 token 验证？主控端传入这个 token ？

[BestSera]

用 spring cloud zuul 加上路由验证吧

[qfdk]

@BestSera #1 但是子服务，还是可以被外部直接调用. zuul 之前看了可以加 token， 那子服务中也要严重 token 么？

[BestSera]

@qfdk 那这样就失去了 zuul 的意义了…如果请求是通过 zuul 转发到 eurake 的，那是不是可以取消子服务和 eurake 的外网权限，只暴露 zuul 呢…如果子服务是其他机器的必须通过外网访问的话那就很尴尬了…只能舍弃 zuul 每个子服务上都去验证 token 吧

[qfdk]

@BestSera #3 谢谢啦 子服务都在不同的机器上 😂 还需要在子服务上验证