WSO2 APIM端点安全认证粒度及多用户OAuth2认证机制咨询

端点安全类型概述 #

WSO2 APIM 支持三种端点安全认证类型：

• Basic 基础认证
• Digest 摘要认证
• OAuth2

问题解答 #

1. 端点安全认证是按API执行还是按请求执行？

WSO2 APIM 的端点安全认证是按请求执行的。每次客户端请求到达API网关后，网关都会在转发至后端端点前，根据预设的端点安全策略完成认证流程。除非配置了针对性的缓存机制，否则每一次请求都会触发完整的认证检查。

2. 多用户场景下，端点认证是逐用户执行还是API级缓存？

这取决于使用的认证类型和具体配置：

• OAuth2 认证：
  默认行为是按用户逐一执行认证——网关会针对每个用户的有效访问令牌单独完成认证逻辑，确保后端能识别具体用户身份。
  若启用了令牌缓存（通过TokenCache相关配置），网关会缓存已验证的有效令牌，同一用户使用同一令牌的后续请求会复用缓存结果，无需重复执行全流程认证，但缓存是基于用户令牌的，不同用户的令牌仍会分别处理。
• Basic/Digest 认证：
  若配置的是API级统一凭证（所有用户共享同一组后端访问凭证），网关会缓存该凭证的认证结果，所有请求复用缓存，无需每次重新认证；
  若为用户级独立凭证（每个用户有专属后端凭证），则会按用户逐一认证，并分别缓存各自的凭证认证结果。

内容的提问来源于stack exchange，提问作者m.feyzollahi