Сценарий : JWT, проверенные сервером ресурсов, могут иметь разных эмитентов, подписанных другой парой ключей (RSA). Ключ publi c доступен серверу ресурсов внутри хранилища доверенных сертификатов, где псевдоним соответствует заявлению издателя. Таким образом, в зависимости от эмитента внутри JWT соответствующий ключ publi c извлекается из хранилища доверенных сертификатов. В настоящее время поиск и сопоставление эмитента и псевдонима осуществляется вручную и несколько обременительно.
Вопросы :
- Поддерживает ли Spring Security этот сценарий через (свойство-) конфигурация?
- например, предоставить ресурс доверенного хранилища для сопоставления с эмитентом или ребенком
- Является ли это в целом допустимым (и безопасным) подходом, или в нем есть утечки каких-либо уязвимостей?
- Каким будет альтернативный подход для поддержки нескольких эмитентов с различными парами ключей?
Текущая реализация соответствует документации по безопасности Spring для Multi Tenancy . Что работает, как ожидалось, с некоторыми изменениями в ключевом поиске. Но мне было интересно, не является ли это обычным подходом, поскольку для этого сценария нет поддержки конфигурации.