通过反向代理注入OAuth2令牌的成熟解决方案咨询

一、现成商用解决方案 #

• 主流商用API网关（Kong企业版、各云厂商托管API网关、Apigee等）均原生支持该场景：你只需在代理侧配置OAuth客户端凭证、令牌申请端点、令牌缓存规则、目标请求匹配规则，无需额外开发即可实现需求。代理会自动识别发往客户端的出站请求是否携带有效令牌，缺失时自动申请、缓存令牌，再注入到Authorization请求头中转发到客户端的暴露端点，同时支持按不同客户端目标配置独立的认证参数，适配多客户的差异化要求。
• 专门面向Webhook投递场景的商用转发代理工具也普遍内置该功能，针对通知投递的重试、多租户配置等场景做了额外优化，更贴合你的业务场景。

二、可编程反向代理快速实现方案 #

如果不想采购商用产品，用开源工具可以快速搭建实现：

• OpenResty（Nginx + Lua）：在access阶段添加少量Lua逻辑即可：匹配出站请求目标，检查请求是否携带有效令牌，无令牌时调用HTTP客户端申请令牌存入共享缓存，最后将Bearer {令牌}注入请求头转发。社区有大量成熟的复用代码片段，整体开发调试量不超过100行。
• Envoy：原生支持oauth2_client_credentials过滤器，无需写代码，只需要在配置文件中声明过滤器规则、客户端凭证、令牌端点、缓存策略即可直接使用，非常适合云原生架构部署。
• 轻量自研代理：用Go、Python的Web框架写几十行代码的转发服务，实现请求接收、令牌申请缓存、请求转发逻辑，灵活性最高，方便后续扩展其他定制化规则。

内容的提问来源于stack exchange，提问作者andre_ss6