Sollte der Kunde sein eigenes JWT erstellen

Question

Ist es sicher, einem Drittanbieter-Client zu erlauben, ein gültiges JWT für unsere Ressourcen-API zu erstellen? Alle Beispiele, die ich gesehen habe, erfordern, dass wir einen Authentifizierungsserver bereitstellen, um autorisierte Clients mit dem JWT auszustatten.

Answer 1

Ich denke, dass Sie den Unterschied zwischen Ressourcen-Server (RS) und Authorization Server (AS) verstehen müssen.

Wenn Sie dem Drittanbieterclient vertrauen, die Tokenausgabe und -validierung in Ihrem Namen durchzuführen, ist es völlig in Ordnung, den Tokenprozess an sie zu delegieren.

das gesagt ist, der Fluss so sein würde:

1. User-Agent Ihre Ressource Endpunkt zugreifen.
2. Ihre Sicherheitskette überprüft, ob der Benutzer eine Sitzung authentifiziert hat, falls ja, fahren Sie mit der Anfrage fort.
3. Wenn nicht, leiten Sie den Benutzer an den Drittanbieter-Authentifizierungsendpunkt mit Token um.
4. nach erfolgreicher Authentifizierung des Benutzers, Rückruf, um den Ressourcenzugriff wieder aufzunehmen.
5. Wenn der Vorgang fehlgeschlagen ist, rufen Sie den Benutzer auf, um auf die Ableitungsseite zuzugreifen.