产品生态系统中的认证与授权

Question

我有一个由多个产品组成的产品生态系统，即:一个角度的应用程序、一个网站和一个混合应用程序，所有这些都是由节点后端驱动的。

因此，现在我想在整个生态系统中添加一个单一的身份验证和授权，它也需要模块化和可伸缩性。

另外，我遵循一个三层体系结构，即：应用程序-> API -> DB，只有访问DB的API层。

现在，我还希望身份验证和授权是，生态系统中的另一个应用程序，可以插入到其他应用程序中，并且无需太多设置就可以使用。

另外，由于它是(身份验证和授权模块)的另一个应用程序，我不希望它直接访问DB，我希望它进行API调用来完成它，而且它不应该使用第三方模式(如auth0 )。

重要的是，除了身份验证和授权模块之外，其他应用程序都不应该有任何与认证和授权模块相关的逻辑。

基本上，这应该是模块，而不是当插入允许身份验证和授权，并无缝集成。

这是可能的吗？如果是的话，我该怎么做呢？如果不是，如何在其他生产级生态系统中实现认证和授权？

提前感谢！

Answer 1

身份验证肯定可以看作是一个模块；只是一个带有数据库后端的小部件，它接收凭据并发出错误消息或授权令牌。然而，授权要复杂一些；一旦收到了这些授权令牌，就需要决定它们的含义。

在不了解您的应用程序的情况下，我要说，您需要为每个应用程序创建到用户帐户的权限映射。如果您只想限制用户访问对方的内容，但是如果您想给一些用户提供比其他用户更多(或更少)的权限，则这是非常简单的。如果是这样的话，我建议您使用某种形式的基于角色的访问控制。您可以找到关于如何处理授权这里的更多讨论。