Авторизуйте пользователей веб-приложения и предоставьте им доступ к сервису API.

Question

Я хотел бы знать, что возможные механизмы безопасности могут быть реализованы для следующего требования.

У меня есть один API-сервер, который имеет несколько API-служб, которые будут предоставлять данные.(Например, Graph API)

Я хотел разрешить доступ к этим данным нескольким организациям.Организации имеют свои собственные веб-сайты, поэтому они будут аутентифицировать пользователей от их имени.

Поэтому все, что нам нужно сделать, - это авторизовать пользователя, если он запрашивает разрешенные организации.

Может ли этобыть реализован OAuth?

Пожалуйста, предложите различные механизмы безопасности, которые могут быть реализованы.

Answer 1

Вы можете использовать JWT в качестве токена аутентификации. Для вызова API каждый пользователь должен запросить подписанный JWT из своей собственной организации и включить JWT в качестве заголовка авторизации. Вы настраиваете свой сервер API, чтобы доверять только JWT, подписанному этими организациями. Как правило, ваша логика проверки будет проверять, подписан ли токен этими организациями, и содержит ли оно соответствующее утверждение эмитента токена «iss», а также проверяет время истечения срока действия. Вы также можете потребовать, чтобы эти организации указали ваш сервер api в качестве токен-аудитории (включено в утверждение "aud"). Если токен является доверенным и проверенным, вы можете дополнительно авторизовать пользователя на основе других утверждений внутри токена.

Здесь, в сообществе MicroProfile, мы пытаемся определить способ взаимодействия с аналогичными сценариями, которые вы описали, https://github.com/eclipse/microprofile-jwt-auth/blob/master/spec/src/main/asciidoc/interoperability.asciidoc

Answer 2

Вы смотрели на Microsoft OWIN?Вы можете реализовать свой собственный поставщик авторизации, унаследованный от OAuthAuthorizationServerProvider - токен на предъявителя с именем пользователя / паролем, аутентификацией и т. Д. https://georgedyrra.com/2016/09/28/using-owin-to-self-host-web-api-and-secure-endpoints/