19、使用JWT保障微服务安全的全面指南

使用JWT保障微服务安全的全面指南

1. JWT与mTLS对比及使用场景

在保障微服务安全方面，JSON Web Token（JWT）相较于Mutual Transport Layer Security（mTLS）具有显著优势。例如，当订单处理微服务想要与库存微服务共享订单ID作为关联句柄时，它可以将其嵌入JWT中。而使用mTLS时，则需要将其作为HTTP头传递。

mTLS能确保数据传输过程中的机密性和完整性，但无法实现不可抵赖性。不可抵赖性是指通过加密手段将某个行为与发起者绑定，使其无法事后否认。仅依靠mTLS无法实现这一特性，而使用自签名JWT时，添加到其中的所有数据都与用于签署消息的相应私钥所有者绑定，有助于实现不可抵赖性。

即使使用自签名JWT，大多数情况下两个微服务之间的通信仍需通过TLS（而非mTLS）进行，以保护通信的机密性和完整性。若想摆脱TLS，可使用签名加密的JWT来实现相同属性，但实际中很少会这么做。

需要注意的是，JWT是一种Bearer令牌，就像现金一样。如果有人窃取了你的Bearer令牌，在令牌过期之前，他们可以毫无问题地使用它。因此，若使用JWT进行微服务之间的身份验证，必须使用TLS保护通信通道，以降低入侵者窃取令牌的风险，同时确保JWT的有效期较短。

2. 嵌套JWT

嵌套JWT是指在一个JWT中嵌入另一个JWT。当使用自签名JWT保障两个微服务之间的服务到服务通信时，可以将受信任的安全令牌服务（STS）颁发的携带终端用户上下文的JWT嵌入到自签名JWT中，构建嵌套JWT。

在接收端，服务需要使用调用微服务对应的公钥验证嵌套JWT的签名，并使用受信任的STS对应的