V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX 提问指南
ccde8259
V2EX  ›  问与答

如何实现一个请求鉴权?

  •  
  •   ccde8259 · 108 天前 via iPhone · 1421 次点击
    这是一个创建于 108 天前的主题,其中的信息可能已经有所发展或是发生改变。
    比如服务 Alice 通过 HTTP 请求服务 Bob,为了安全会设置一个请求鉴权的环节。
    想了解大家生产实践中的请求鉴权设计?
    似乎目前个人接触到的都是单向鉴权。也就是当 Alice 去访问 Bob 的时候,Bob 对 Alice 的请求根据预共享密钥验证签名。
    这个流程似乎就没有办法保证 Alice 访问的 Bob 是不是真正的 Bob 。但是有另一个层面的因素就是请求本身基于 HTTPS 的情况下,证书验证是否能作为上述安全性的保证?
    11 条回复    2021-08-23 13:06:59 +08:00
    seki
        1
    seki  
       107 天前
    可以做 Key Pinning
    aijam
        2
    aijam  
       107 天前
    jwt
    nutting
        3
    nutting  
       107 天前
    可以借鉴 ssh 的机制
    err1y
        4
    err1y  
       107 天前 via iPhone
    alice 使用自己的公钥签名数据后再用 bob 的公钥加密,详情可以看看 gpg 的签名并加密
    err1y
        5
    err1y  
       107 天前 via iPhone
    @err1y 也可以看看我的这个项目的 readme 中的 2.3 rpc 设计
    err1y
        6
    err1y  
       107 天前 via iPhone
    cheng6563
        7
    cheng6563  
       107 天前
    配置启用 tls 客户端证书即可
    joesonw
        8
    joesonw  
       107 天前
    mtls, 服务也会验证客户端的证书
    zhengsidao
        9
    zhengsidao  
       107 天前
    tls 用于双向验证,验证服务器和 client 是不是正确
    通过 api gateway 比如 kong 来鉴别请求权限
    cpstar
        10
    cpstar  
       107 天前
    HTTPS 只是在容器层判定了 Bob 是不是 Bob 的问题,但如果不信任容器层呢?所以也可以在业务层再做一次 Bob 是不是 Bob 的判定。
    Xusually
        11
    Xusually  
       107 天前
    tls 客户端证书
    关于   ·   帮助文档   ·   API   ·   FAQ   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2112 人在线   最高记录 5497   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 21ms · UTC 00:34 · PVG 08:34 · LAX 16:34 · JFK 19:34
    ♥ Do have faith in what you're doing.