микросервиса N должны быть доступны только для авторизованных пользователей. Как правильнее выстраивать взаимодействие? На уровне гетвея делать проверку или сервис N должен делать эту проверку у себя?
А как реализована авторизация?
Если авторизация на stateless токенах типа jwt, то сервис сам может проверить, иначе на гейтвее
а в каких случаях нужно проверять на гетвее? на сессии скажем?
Тогда каждый сервис сам может проверить авторизацию через валидацию токена. Лучше всего для этого в токенах использовать RSA ключ, чтобы сервисам можно было давать только паблик ключ, без раскидывается секрета всем
Когда не stateless авторизация, нельзя просто взять токен и по нему проверить его валидность.
Зачем же тогда гейтвей, если часть запросов мимо него летит?
gateaway является точкой входа, при входе на микросервис N ты входишь через gateaway, а значит логика авторизации должна лежать там.
Обсуждают сегодня