保障我的技术栈：集成 Asgardeo、Ballerina 和 Choreo 的功能与体验

Source: Dev.to

引言：构建安全的微服务网关

在我的 Secure Gateway 项目中——将 React 前端 与 Ballerina 后端 集成在 WSO2 Choreo 上——我选择了 WSO2 Asgardeo 作为核心身份提供者（IDP）。我的目标是利用现代的云原生身份与访问管理（CIAM）解决方案，能够无缝处理 OAuth 2.0 和 OpenID Connect（OIDC）的复杂性。

本文详细介绍了我使用的 Asgardeo 的具体功能，并分享了将它们集成到安全微服务架构中的实战经验。

架构概览

我们的简易技术栈提供了分层安全：

功能 1：无缝的 SPA 设置与 PKCE

我的体验：直观且安全的配置

我将应用定义为 单页应用（SPA）。此选择立即配置了必要的安全协议：带 PKCE（Proof Key for Code Exchange）的授权码流程。

• PKCE 至关重要： 对于像 SPA 这样的公共客户端（无法安全存储客户端密钥），PKCE 能防止代码拦截攻击。选择 SPA 模板时，Asgardeo 会自动强制使用 PKCE，提供即插即用的安全性，无需手动配置。
• 重定向管理： 配置 Authorized Redirect URLs（例如 https:///callback）既简单又清晰，这对防止认证流程中断至关重要。

功能 2：React SDK (@asgardeo/auth-react)

我的体验：在响应式应用中的令牌可靠性

官方的 Asgardeo React SDK 简化了登录/注销集成和会话管理。

• useAuthContext Hook： 可即时获取用户的认证状态（isAuthenticated）和会话数据。
• 令牌可靠性： 直接使用响应式状态获取访问令牌可能导致竞争条件。SDK 的异步 getAccessToken() 方法在 API 调用前可靠地获取最终有效的令牌，确保 Authorization: Bearer <token> 头始终是最新的。

// Reliable way to fetch the token just before the API call
const fetchData = async () => {
  const token = await getAccessToken();
  const apiResponse = await fetch(apiUrl, {
    headers: {
      Authorization: `Bearer ${token}`
    }
  });
  // ... handle response
};

功能 3：JWT 访问令牌生成与验证

我的体验：发现 Issuer 冲突

我的 Ballerina API 需要 JWT 进行验证。Asgardeo 颁发了有效的 JWT，但其 iss（Issuer）声明出现了问题：

• 问题声明： Issuer (iss) 包含完整的 token 端点 URL（https://.../oauth2/token）。
• 标准预期： 我的验证器最初配置为只接受基础 URL（https://.../t/maheshadinushan）。

检查实际的 token 负载后发现了不匹配。于是我必须在 API 网关（Choreo）和 Ballerina 服务中都 信任完整的端点 URL（.../oauth2/token），以匹配 Asgardeo 生成的 token。此调整解决了 JWT 验证器的死锁问题。