Ⅰ 微服务有什么作用
维基上对微服务的定义为：一种软件开发技术- 面向服务的体系结构（SOA）架构样式的一种变体，它提倡将单一应用程序划分成一组小的服务，服务之间互相协调、互相配合，为用户提供最终价值。
微服务的最重要的单一特征可能是，由于服务较小且可独立部署，因此不再需要繁琐的行动才能更改应用程序中的一行文字。
在微服务模型中，组件是独立部署的，并通过REST，事件流和消息代理的某种组合进行通信-因此，可以针对该服务优化每个单独服务的堆栈。技术一直在变化，由多个较小的服务组成的应用程序随着更理想的技术的发展而变得更容易且成本更低。
使用微服务，可以单独部署单个服务，但是也可以单独扩展它们。由此带来的好处是显而易见的：如果正确完成，微服务比单片应用程序所需的基础结构要少，因为微服务仅支持对需要它的组件进行精确缩放，而对于单片应用程序则不需要整个应用程序。
比如像HC服务网格是基于Istio及容器技术的微服务治理平台，以无侵入方式为多语言、不同部署形态的异构应用提供服务治理、服务监控和安全控制等微服务管理能力。能够将服务通信、观测与安全能力下沉到基础设施层，降低分布式应用开发复杂度，为应用运维减负，推动企业应用整体向服务治理平台迁移，提升IT系统的整体承载能力、高可用能力。
Ⅱ 微信小程序农行微服务安全吗
安全。
“农行微服务”微信小程序为中国农业银行官方小程序，是有安全保障的。
微信小程序引爆了人们对互联网新生态的无限畅想，农业银行嗅觉敏锐，在五大国有银行中率先推出了“农行微服务”小程序，致力连接“线下-线上”，玩转“场景+服务”。
Ⅲ 什么是 微服务
微服务架构是一种方法，其中单个应用程序由许多松散耦合且可独立部署的较小服务组成。
微服务（或微服务架构）是一种云原生架构方法，其中单个应用程序由许多松散耦合且可独立部署的较小组件或服务组成。
这些服务通常
虽然关于微服务的大部分讨论都围绕架构定义和特征展开，但它们的价值可以通过相当简单的业务和组织优势来更普遍地理解：
微服务也可以通过它们 不是 什么来理解。
与微服务架构最常进行的两个比较是单体架构和面向服务的架构 (SOA)。
微服务和单体架构之间的区别在于，微服务由许多较小的、松散耦合的服务组成一个应用程序，而不是大型、紧密耦合的应用程序的单体方法
微服务和 SOA 之间的区别可能不太清楚。
虽然可以在微服务和 SOA 之间进行技术对比，尤其是围绕 企业服务总线 (ESB) 的角色，但更容易将差异视为 范围之一 。
SOA 是企业范围内的一项努力，旨在标准化 组织中 所有 Web 服务相互通信和集成的方式，而微服务架构是特定于应用程序的。
微服务可能至少与开发人员一样受高管和项目负责人的欢迎。
这是微服务更不寻常的特征之一，因为架构热情通常是为软件开发团队保留的。
原因是微服务更好地反映了许多业务领导者希望构建和运行他们的团队和开发流程的方式。
换句话说，微服务是一种架构模型，可以更好地促进所需的操作模型。
在IBM 最近对 1,200 多名开发人员和 IT 主管进行的一项调查中，87% 的微服务用户同意微服务的采用是值得的。
也许微服务最重要的一个特点是，由于服务更小并且可以独立部署，它不再需要国会的法案来更改一行代码或在应用程序中添加新功能。
微服务向组织承诺提供一种解毒剂，以解决与需要大量时间的小改动相关的内心挫败感。
它不需要博士学位。
在计算机科学中看到或理解一种更好地促进速度和敏捷性的方法的价值。
但速度并不是以这种方式设计服务的唯一价值。
一种常见的新兴组织模型是围绕业务问题、服务或产品将跨职能团队聚集在一起。
微服务模型完全符合这一趋势，因为它使组织能够围绕一个服务或一组服务创建小型、跨职能的团队，并让他们以敏捷的方式运行。
微服务的松散耦合还为应用程序建立了一定程度的故障隔离和更好的弹性。
服务的小规模，加上清晰的边界和沟通模式，使新团队成员更容易理解代码库并快速为其做出贡献——在速度和员工士气方面都有明显的好处。
在传统的 n 层架构模式中，应用程序通常共享一个公共堆栈，其中一个大型关系数据库支持整个应用程序。
这种方法有几个明显的缺点——其中最重要的是应用程序的每个组件都必须共享一个公共堆栈、数据模型和数据库，即使对于某些元素的工作有一个清晰、更好的工具。
它造成了糟糕的架构，并且对于那些不断意识到构建这些组件的更好、更有效的方法是可用的开发人员来说是令人沮丧的。
相比之下，在微服务模型中，组件是独立部署的，并通过 REST、事件流和消息代理的某种组合进行通信——因此每个单独服务的堆栈都可以针对该服务进行优化。
技术一直在变化，由多个较小的服务组成的应用程序更容易和更便宜地随着更理想的技术发展而变得可用。
使用微服务，可以单独部署单个服务，但也可以单独扩展它们。由此产生的好处是显而易见的：如果做得正确，微服务比单体应用程序需要更少的基础设施，因为它们只支持对需要它的组件进行精确扩展，而不是在单体应用程序的情况下对整个应用程序进行扩展。
微服务的显着优势伴随着重大挑战。
从单体架构到微服务意味着更多的管理复杂性——更多的服务，由更多的团队创建，部署在更多的地方。
一项服务中的问题可能会导致或由其他服务中的问题引起。
日志数据（用于监控和解决问题）更加庞大，并且在服务之间可能不一致。
新版本可能会导致向后兼容性问题。
应用程序涉及更多的网络连接，这意味着出现延迟和连接问题的机会更多。
DevOps 方法可以解决其中的许多问题，但 DevOps 的采用也有其自身的挑战。
然而，这些挑战并没有阻止非采用者采用微服务——或者采用者深化他们的微服务承诺。
新的 IBM 调查数据 显示，56% 的当前非用户可能或非常可能在未来两年内采用微服务，78% 的当前微服务用户可能会增加他们在微服务上投入的时间、金钱和精力
微服务架构通常被描述为针对 DevOps 和持续集成/持续交付 (CI/CD) 进行了优化，在可以频繁部署的小型服务的上下文中，原因很容易理解。
但另一种看待微服务和 DevOps 之间关系的方式是，微服务架构实际上 需要 DevOps 才能成功。
虽然单体应用程序具有本文前面讨论过的一系列缺点，但它们的好处是它不是一个具有多个移动部件和独立技术堆栈的复杂分布式系统。
相比之下，鉴于微服务带来的复杂性、移动部件和依赖项的大量增加，在部署、监控和生命周期自动化方面没有大量投资的情况下使用微服务是不明智的。
虽然几乎任何现代工具或语言都可以在微服务架构中使用，但有一些核心工具已成为微服务必不可少的边界定义：
微服务的关键要素之一是它通常非常小。
（没有任意数量的代码可以确定某物是否是微服务，但名称中的“微”就在那里。）
当Docker在 2013 年迎来现代容器时代时，它还引入了与微服务最密切相关的计算模型。
由于单个容器没有自己的操作系统的开销，它们比传统的虚拟机更小更轻，并且可以更快地启动和关闭，使其成为微服务架构中更小、更轻的服务的完美匹配.
随着服务和容器的激增，编排和管理大量容器很快成为关键挑战之一。
Kubernetes是一个开源容器编排平台，已成为最受欢迎的编排解决方案之一，因为它做得非常好。
微服务通常通过 API 进行通信，尤其是在首次建立状态时。
虽然客户端和服务确实可以直接相互通信，但 API 网关通常是一个有用的中间层，尤其是当应用程序中的服务数量随着时间的推移而增长时。
API 网关通过路由请求、跨多个服务扇出请求以及提供额外的安全性和身份验证来充当客户端的反向代理。
有多种技术可用于实现 API 网关，包括 API 管理平台，但如果使用容器和 Kubernetes 实现微服务架构，则网关通常使用 Ingress 或最近的Istio 来实现。
虽然最佳实践可能是设计无状态服务，但状态仍然存在，服务需要了解它。
虽然 API 调用通常是为给定服务初始建立状态的有效方式，但它并不是保持最新状态的特别有效方式。
不断的轮询，“我们到了吗？” 保持服务最新的方法根本不切实际。
相反，有必要将建立状态的 API 调用与消息传递或事件流结合起来，以便服务可以广播状态的变化，而其他相关方可以监听这些变化并进行相应的调整。
这项工作可能最适合通用消息代理，但在某些情况下，事件流平台（例如Apache Kafka）可能更适合。
通过将微服务与事件驱动架构相结合，开发人员可以构建分布式、高度可扩展、容错和可扩展的系统，可以实时消费和处理大量事件或信息。
无服务器架构将一些核心云和微服务模式得出其合乎逻辑的结论。
在无服务器的情况下，执行单元不仅仅是一个小服务，而是一个函数，它通常可以只是几行代码。
将无服务器功能与微服务分开的界限很模糊，但通常认为功能比微服务还要小。
无服务器架构和功能即服务 (FaaS)平台与微服务的相似之处在于，它们都对创建更小的部署单元和根据需求精确扩展感兴趣。
微服务不一定与云计算完全相关，但它们如此频繁地结合在一起有几个重要原因——这些原因超越了微服务成为新应用程序的流行架构风格以及云成为新应用程序的流行托管目的地的原因。
微服务架构的主要优势之一是与单独部署和扩展组件相关的利用率和成本优势。
虽然这些优势在一定程度上仍然存在于本地基础设施中，但小型、独立可扩展的组件与按需、按使用付费的基础设施相结合是可以找到真正成本优化的地方。
其次，也许更重要的是，微服务的另一个主要好处是每个单独的组件都可以采用最适合其特定工作的堆栈。
当您自己管理堆栈扩散时，可能会导致严重的复杂性和开销，但是将支持堆栈作为云服务使用可以大大减少管理挑战。
换句话说，虽然推出自己的微服务基础设施并非不可能，但不可取，尤其是刚开始时。
在微服务架构中，有许多常见且有用的设计、通信和集成模式有助于解决一些更常见的挑战和机遇，包括：
例如，在桌面上使用的应用程序将具有与移动设备不同的屏幕尺寸、显示和性能限制。
BFF 模式允许开发人员使用该界面的最佳选项为每个用户界面创建和支持一种后端类型，而不是尝试支持适用于任何界面但可能会对前端性能产生负面影响的通用后端。
例如，在电子商务网站上，产品对象可能通过产品名称、类型和价格来区分。
聚合是应被视为一个单元的相关实体的集合。
因此，对于电子商务网站，订单将是买家订购的产品（实体）的集合（集合）。
这些模式用于以有意义的方式对数据进行分类。
在微服务架构中，服务实例会因伸缩、升级、服务故障甚至服务终止而动态变化。
这些模式提供了发现机制来应对这种短暂性。
负载平衡可以通过使用 健康 检查和服务故障作为重新平衡流量的触发器来使用服务发现模式。
适配器模式的目的是帮助翻译不兼容的类或对象之间的关系。
依赖第三方 API 的应用程序可能需要使用适配器模式来确保应用程序和 API 可以通信。
这个色彩缤纷的名字指的是藤蔓（微服务）如何随着时间的推移慢慢地超越并扼杀一棵树（单体应用程序）。
虽然有很多模式可以很好地完成微服务，但同样数量的模式可以很快让任何开发团队陷入困境。
其中一些——改写为微服务“不要”——如下：
一旦应用程序变得太大且难以轻松更新和维护，微服务是一种管理复杂性的方法。
只有当您感觉到单体架构的痛苦和复杂性开始蔓延时，才值得考虑如何将该应用程序重构为更小的服务。
在你感受到那种痛苦之前，你甚至没有真正拥有需要重构的单体。
尝试在没有 a) 适当的部署和监控自动化或 b) 托管云服务来支持您现在庞大的异构基础设施的情况下进行微服务，会带来很多不必要的麻烦。
省去你自己的麻烦，这样你就可以把时间花在担心状态上。
最好倾向于更大的服务，然后只在它们开始开发微服务解决的特征时才将它们分开——即部署更改变得困难和缓慢，通用数据模型变得过于复杂，或者不同部分服务有不同的负载/规模要求。
微服务和 SOA 之间的区别在于，微服务项目通常涉及重构应用程序以便更易于管理，而 SOA 关注的是改变 IT 服务在企业范围内的工作方式。
一个演变成 SOA 项目的微服务项目可能会因自身的重量而崩溃。
你最好从一个你可以处理的速度开始，避免复杂性，并尽可能多地使用现成的工具。
Ⅳ 微服务网关安全
单体应用场景下只需要考虑从外部进来的请求是不是安全的，里面涉及到的服务之间相互的调用是不需要我们考虑安全的，但是在微服务场景下从订单去调用物流的时候，是需要跨网络，从一个进程进入另一个进程，所以需要考虑 服务之间的通信安全
对于一个服务来说，可观测性是一个很重要的指标，可观测性包含了三个方面的意义
真正的人
可能是一个 Web App 或者手机 App，用户会直接访问这些应用
存储资源的服务器
Ⅳ SpringCloud | 微服务应用安全——Security
当用户访问某一资源时，需对用户身份进行校验，确保用户的可用性；
若用户不可用，则返回错误信息，不允许访问某一资源；
若用户安全可用，则返回访问令牌；
通过返回的令牌来校验该用户是否有权限访问这个资源；
若有授权，则返回相应的资源；
若未授权，则返回错误的信息。
目前，Spring Cloud提供的安全解决方案是通过Spring Cloud Security整合OAuth 2.0及JWT（Javascript WebToken）来构建我们的安全体系。
1、Spring Boot的应用安全
2、微服务安全解决方案
3、基于OAuth 2.0的认证
4、基于JWT的认证
每一个 不曾起舞的日子，都是对生命的辜负。一个人知道自己为什么而活，就可以忍受任何一种生活。其实人跟树是一样的，越是向往高处的阳光，它的根就越要伸向黑暗的地底。
Ⅵ 【知识总结】4.微服务的治理去中心化，服务发现，安全，部署
通常“治理”的意思是构建方案，并且迫使人们通过努力达到组织的目标。SOA治理指导开发者开发可重用的服务，以及随着时间推移，服务应该怎么被设计和开发。治理建立了服务提供者和消费者之间对于服务的协定，告诉消费者能从服务提供获取到什么样的支持。
SOA中有两种常见的治理：
那么微服务中的治理是什么意思呢？
在微服务架构中，不同的微服务之间相互独立，并且基于不同的平台和技术。因此，没有必要为服务的设计和开发定义一个通用的标准。
总结微服务的治理去中心化如下：
微服务架构下，有大量的微服务需要处理。由于微服务的快速和敏捷研发，他们的位置可能会动态变化。因此在运行时需要能够发现服务所在的位置，服务发现可以解决这个问题。
注册中心有微服务的实例和位置信息，微服务在启动时向注册中心注册自己的信息，关闭时注销。其它使用者能够通过注册中心找到可用的微服务和相关信息。
为了能找到可用的服务和他们的位置信息，需要服务发现机制。有两种发现机制，客户端发现和服务端发现。
客户端发现 - 客户端或者API网关通过查询服务注册中心或者服务的位置信息。
客户端/API网关必须调用服务注册中心组件，实现服务发现的逻辑。
服务端发现 - 客户端/API网关把请求发送到已知位置信息的组件（比如负载均衡器）。组件去访问注册中心，找到微服务的位置信息。
类似Kubernetes（ http://kubernetes.io/v1.1/docs/user-guide/services.html ）这种微服务部署解决方案，就提供了服务器端的自动发现机制。
微服务的部署方式也特别重要，以下是关键：
Docker（一个运行在linux上并且开源的应用，能够协助开发和运维把应用运行在容器中）能够快速部署微服务，包括关键几点：
相对于传统的虚拟机模式，利用docker容器，构建、发布、启动微服务将会变得十分快捷。
通过Kubernetes能够进一步扩展Docker的能力，能够从单个linux主机扩展到linux集群，支持多主机，管理容器位置，服务发现，多实例。都是微服务需求的重要特性。因此，利用Kubernetes管理微服务和容器的发布，是一个非常有力的方案。
图11，展示了零售应用的微服务部署。每个服务都在独立的容器中，每个主机有两个容器，通过kubernetes可以随意调整容器的数量。
在实际运行环境中，微服务的安全也非常重要。我们先看下单体架构下安全是如何实现的。
一个典型的单体应用，安全问题主要是“谁调用”，“调用者能做什么”，“如何处理”。服务器接收到请求后，一般都在处理链条的最开始，通过安全组件来对请求的信息进行安全处理。
我们能直接把这种处理方式应用在微服务架构中吗？答案是可以的，需要每个微服务都实现一个安全组件从资源中心获取对应的用户信息，实现安全控制。这是比较初级的处理方式。可以尝试采用一些标准的API方式，比如OAuth2和OpenID。深入研究之前，可以先概括下这两种安全协议以及如何使用。
OAuth2-是一个访问委托协议。需要获得权限的客户端，向授权服务申请一个访问令牌。访问令牌没有任何关于用户/客户端的信息，仅仅是一个给授权服务器使用的用户引用信息。因此，这个“引用的令牌”也没有安全问题。
OpenID类似于OAuth，不过除了访问令牌以外，授权服务器还会颁发一个ID令牌，包含用户信息。通常由授权服务器以JWT（JSON Web Token）的方式实现。通过这种方式确保客户和服务器端的互信。JWT令牌是一种“有内容的令牌”，包含用户的身份信息，在公共环境中使用不安全。
现在我们看下如何在网络零售网站中应用这些协议保障微服务的安全。
图12中所示，是实现微服务安全的关键几步：
JWT包含必要的用户信息，如果每个微服务都能够解析JWT，那么你的系统中每个服务都能处理身份相关的业务。在每个微服务中，可以有一个处理JWT的轻量级的组件。
在微服务中怎么支持事务呢？事实上，跨多个微服务的分布式事务支持非常复杂，微服务的设计思路是尽量避免多个服务之间的事务操作。
解决办法是微服务的设计需要遵循功能自包含和单职责原则。跨越多个微服务支持分布式事务在微服务架构中不是一个好的设计思路，通常需要重新划定微服务的职责。某些场景下，必须要跨越服务支持分布式事务，可以在每个微服务内部利用“组合操作”。
最关键的事情是，基于单职责原则设计微服务，如果某个服务不能正常执行某些操作，那么这个服务是有问题的。那么上游的操作，都需要在各自的微服务中执行回滚操作。
微服务架构相比较单体的设计而言，引入了更多服务，在每个服务级别会增加发生错误的可能性。一个服务可能由于网络问题、底层资源等各种问题导致失败。某个服务的不可能不应该影响整个应用的崩溃。因此，微服务系统必须容错，甚至自动回复，对客户端无感知。
任何服务在任何时间都有可能出问题，监控系统需要能够发现问题，并且自动恢复。微服务环境下有不少常用的模式。
微服务中请求的失败率达到一定程度后，系统中的监控可以激活线路中断。当正常请求的数量恢复到一定程度后，再关闭线路中断的开关，使系统回复到正常状态。
这个模式可以避免不必要的资源消耗，请求的处理延迟会导致超时，借此可以把监控系统做的更完善。
一个应用会有很多微服务租车，单个微服务的失败不应该影响整个系统。防火墙模式强调服务直接的隔离性，微服务不会受到其它微服务失败的影响。
超时机制是在确定不会再有应答的情况下，主动放弃等待微服务的响应。这种超时应该是可配置的。
哪些情况下，如何使用这些模式呢？大多数情况，都应该在网关处理。当微服务不可用或者没有回复时，网关能够决定是否执行线路中断或者启动超时机制。防火墙机制同样重要，网关是所有请求的唯一入口，一个微服务的失败不应该影响到其它微服务。网关也是获得微服务状态、监控信息的中心。
我们已经讨论了微服务的架构和各种特性，以及如何应用在一个现代的IT系统中。同时也需要意识到，微服务不是解决所有问题的灵丹妙药。盲目追求流行的技术概念并不能解决掉企业IT系统的问题。
微服务有很多优势，但是仅靠微服务不能解决企业IT中的所有问题。例如，微服务需要去除ESB，但是现实的IT系统中，大量的应用和服务是基于ESB而不是微服务。集成现有的系统，需要一些集成总线。实际情况是，微服务和其它企业架构并存。
Ⅶ 个人对微服务身份认证与鉴权的认识
从单体应用架构到分布式应用架构再到微服务架构，应用的架构通过不停的改进升级的方式满足不断扩大的业务需求。随着应用架构的改变，身份认证的方式也在发生变化，为了适应架构的变化、需求的变化，身份认证与鉴权方案也需要不断的变革。
在传统单体应用架构中，身份认证从来都不是问题，简单粗暴的通过一个权限的拦截器，配合session基本都解决了！（这里简单说说session， 因为Http协议是一种无状态协议，即每次服务端接收到客户端的请求时，都是一个全新的请求，服务器并不知道客户端的历史请求记录；session的主要目的就是为了弥补Http的无状态特性。简单的说，就是服务器可以利用session存储客户端在同一个会话期间的一些操作记录。）
在于分布式应用架构中，也有很多处理方式，最流行无非以下几种:
接下主要聊聊在微服务架构中的一些方案和个人理解
采用单点登录方案，意味着每个面向用户的服务都必须与认证服务交互，这会产生大量非常琐碎的网络流量，同时这个防范实现起来也相当的复杂，同时重构相当麻烦，因为需要兼容所有系统。在其他方面，选择SSO方案安全性会很好，用户登录状态是不透明的，可防止攻击者从状态中推断任何有用的信息。
分布式会话方案原理主要是将关于用户认证的信息存储在共享存储中，且通常由用户会话作为 key 来实现的简单分布式哈希映射。当用户访问微服务时，用户数据可以从共享存储中获取。在某些场景下，这种方案很不错，用户登录状态是不透明的。同时也是一个高可用且可扩展的解决方案。这种方案的缺点在于共享存储需要一定保护机制，因此需要通过安全链接来访问，这时解决方案的实现就通常具有相当高的复杂性了。
令牌在客户端生成，由身份验证服务进行签名，并且必须包含足够的信息，以便可以在所有微服务中建立用户身份。令牌会附加到每个请求上，为微服务提供用户身份验证，这种解决方案的安全性相对较好，但身份验证注销是一个大问题，缓解这种情况的方法可以使用短期令牌和频繁检查认证服务等。对于客户端令牌的编码方案，Borsos 更喜欢使用 JSON Web Tokens（JWT），它足够简单且库支持程度也比较好。
这个方案意味着所有请求都通过网关，从而有效地隐藏了微服务。 在请求时，网关将原始用户令牌转换为内部会话 ID 令牌。在这种情况下，注销就不是问题，因为网关可以在注销时撤销用户的令牌。
若对过期要求不高的场景，可以不使用Redis，直接使用 JWT 的过期时间即可
登录流程：
验证流程：
Ⅷ 如何用Nginx快速搭建一个安全的微服务架构
教你如何用Nginx搭建一个安全的、快速的微服务架构
今天我们要谈论微服务以及如何使用Nginx构建一个快速的、安全的网络系统。最后，我们将向您展示一个使用Fabric模式如何非常快速和轻松地构建一个微服务的demo。
在我们探讨Fabric模式之前，我想谈一谈微服务并且从Nginx的角度来看这意味着什么。
0：56 - 大转变
微服务已经引起了应用程序架构的重大转变。
当我第一次开始构建应用程序时，他们都是差不多的。幻灯片中所展示的单体架构也象征了应用程序的构造方式。
目前存在着某种类型的虚拟机（VM），对我来说，就是通常的Java。在虚拟机中应用的功能组件以对象的形式存在，这些对象是在内存中相互通讯的，它们将来来回回处理并进行方法调用。偶尔，你会采用诸如通知等机制来接触到其他系统以便获取数据或传递信息。
有了微服务之后，应用程序如何构建的范式是完全不同的了。你的功能组件会从在同一个主机的内存中通过虚拟机相互通讯转变到部署在容器中，并且使用Restful API调用通过HTTP来相互连接。
这是非常强大的，因为它赋予了你功能隔离。它为您提供了更细粒度的可伸缩性，并且你可以获得更好地处理故障的弹性。很多情况下这是简单的事实，你只需要使用HTTP进行跨网络调用。
现在，这种方法也有一些缺点。
一件轶事
我有一个暗黑的秘密，我是一个微软的员工并且从事.Net开发已经很多年了。当我在那儿的时候，我搭建了一个他们的名为Showcase的视频发布平台。
Showcase是一个用来将微软内部发布的所有视频发布到网上的工具。人们可以观看这些视频并进行学习，比如Microsoft Word的使用提示和技巧。这是一个非常受欢迎的平台，我们有很多人使用它，并且其中很多人都会在我们发布的视频上发表评论。
Showcase从一开始就是一个.Net单体应用，随着它日益受欢迎，我们决定应该将它更换为SOA架构。转换是相对容易的。Visual Studio提供了本质上的翻转开关的能力，也就是将你的DLL调用转变为Restful API调用。随着一些小的重构，我们能够让我们的代码运行得相当好。我们也为这些评论和应用内的社区功能使用智能社区服务。
紧密的回路问题
看起来我们是SOA可行的，在我们的首次测试中，一切都工作正常，直到我们将系统切换到我们的Staging环境并开始使用生产环境数据时，我们就会看到一些严重的问题。这些问题在在页面上有很多评论。
这是一个非常受欢迎的平台，其中的一些页面已经有多达2000条评论了。当我们深入这些问题时，我们意识到这些页面需要花费一分钟进行渲染的原因是因为智能社区服务首先需要填充用户名，然后对每一个用户名都需要发起一个对于用户数据库的网络调用来获得用户详细信息并且填充在渲染页面上。这是非常低效的，需要一到两分钟来渲染页面，而在内存中进行通常只需要5到6秒钟。
缓解
当我们经历了发现和解决问题的过程后，我们最终通过一些措施来调整优化系统，比如对所有的请求进行分组。我们缓存了一些数据，最终我们优化了网络来真正的提高性能。
所以，这与微服务有什么关系呢？对的，借助于微服务，你基本上是采用SOA架构的，并且会将其放入超光速引擎中。在SOA架构中所有的对象都是包含在单个虚拟机中并且在其内部管理，在内存中相互通讯，而现在微服务中是使用HTTP进行数据交换的。
当这样做没有问题时，你会获得很好的性能和线性可伸缩性。
Nginx能够很好地与微服务工作
Nginx是一个你可以用来过渡到微服务的最佳工具之一。
关于Nginx和微服务的一些历史。我们从一开始就参与了微服务运动，还是第一个从Docker Hub下载应用的，我们的客户以及那些拥有一些世界上最大的微服务安装量的最终用户广泛地在他们的基础设施使用Nginx。
原因是Nginx很小、很快并且很可靠。
Nginx微服务参考架构
我们还致力于在Nginx内部使用微服务工作已经有一段时间了。这是一个我们已经搭建的程式化的Nginx微服务参考架构，目前正在AWS上运行。
我们拥有6个核心的微服务，它们都运行在Docker容器里。我们决定建立一个多语种的应用，所以每个容器都可以运行不同的语言，我们目前使用了Ruby、Python、PHP、Java和Node.js。
我们搭建了这个使用十二要素应用的系统，稍加修改，就会使其更好地为微服务工作从而可以替代Roku平台。稍后，我们将向您展示一个实际上运行在demo里的应用。
MRA的价值
为什么我们要建立这样一个参考的微服务架构呢？
我们建立这个参考架构是因为我们需要给我们的客户提供构建微服务的蓝图，我们也想在微服务上下文中测试Nginx和Nginx Plus的功能，弄清楚如何才能更好地利用它的优势。最后，我们要确保我们对于微服务生态系统以及其可以给我们提供什么有一个深入的理解。
网络问题
让我们回到我们讨论的大转变。
从将运行在内存里并且被虚拟机管理的你的应用的所有功能组件迁移到通过网络进行工作并且相互通讯的方式，你会本质上引入一系列为了应用有效工作需要你解决的问题。
第一你需要服务发现，第二，你需要在架构中为所有不同的实例进行负载均衡，然后还有第三个，你需要操心性能和安全。
无论是好是坏，这些问题密不可分，你必须做权衡，有希望的是我们有一个可以解决所有这些问题的解决方案。
让我们更深入地看待每一个问题。
服务发现
让我们来谈谈服务发现。在单体应用中，APP引擎会管理所有的对象关系，你永远不必担心一个对象与另一个对象的相对位置，你只需要简单的调用一个方法，虚拟机会连接到对象实例，然后在调用完毕后销毁。
然后有了微服务，你需要考虑那些服务的位置。不幸的是，这不是一个普遍的标准流程。您正在使用的各种服务注册中心，无论是Zookeeper、Consul、etcd或者其它的，都会以不同的方式进行工作。在这个过程中，你需要注册你的服务，还需要能够读取这些服务在哪里并且可以被连接。
负载均衡
第二个问题是关于负载均衡的。当您拥有多个服务实例时，您希望能够轻松地连接到它们，将您的请求在它们中高效地分发，并以最快的方式执行，所以不同实例之间的负载均衡是非常重要的问题。
不幸的是，最简单形式的负载均衡是非常低效的。当你开始使用不同的更加复杂的方案做负载均衡时，它也变得更加复杂并且不易于管理。理想情况下，您希望您的开发人员能够基于他们的应用程序的需求决定何种负载均衡方案。例如，如果你连接到一个有状态的应用程序，你需要拥有持久化，这样可以确保你的Session信息会被保留。
安全和快速通讯
也许微服务最令人生畏的领域是性能和安全。
当在内存中运行时，一切都很快。现在，运行在网络上就会慢了一个数量级。
被安全地包含在一个系统中的信息，通常是二进制格式的，现在会被用文本格式在网络上传输。现在是比较容易在网络上布置嗅探器并能够监听你的应用正在被移动的所有数据。
如果要在传输层加密数据，那么会在连接速率和CPU使用率方面引入显着的开销。SSL/TLS在其全面实施阶段需要九个步骤来初始化一个请求。当你的系统每天需要处理成千上万、几万、数十万或数百万的请求时，这就成为性能的一个重要障碍了。
一个解决方案
我们已经在Nginx开发的一些解决方案，我们认为，会解决所有的这些问题，它赋予你健壮的服务发现、非常棒的用户可配置负载均衡以及安全和快速加密。
网络架构
让我们来谈谈你可以安装和配置你的网络架构的各种方法。
我们提出了三种网络模型，它们本身并不相互排斥，但我们认为它们属于多种格式的。这三种模式是Proxy模式、Router Mesh模式和Fabric模式——这是最复杂的，并在许多方面在其头部进行负载均衡。
Proxy模式
Proxy模式完全聚焦于你的微服务应用的入站流量，并且事实上忽略内部通讯。
你会获得Nginx提供的所有的HTTP流量管理方面的福利。你可以有SSL/TLS终止、流量整形和安全，并且借助于最新版本的Nginx Plus和ModSecurity，你可以获得WAF能力。
你也可以缓存，你可以将Nginx提供给你的单体应用的所有东西添加到你的微服务系统里，并且借助于Nginx Plus，你可以实现服务发现。当你的API实例上下浮动时，Nginx Plus可以在负载均衡工具里动态地添加和减去它们。
Router Mesh模式
Router Mesh模式类似于Proxy模式，在其中我们有一个前端代理服务来管理接入流量，但它也在服务之间添加了集中式的负载均衡。
每个服务连接到集中式的Router Mesh，它管理不同服务之间的连接分发。Router Mesh模式还允许你在熔断器模式中搭建，以便可以对你的应用添加弹性并允许你采取措施来监控和拉回你的失效的服务实例。
不幸的是，因为该模式增加了一个额外的环节，如果你不得不进行SSL/TLS加密，它事实上加剧了性能问题。这就是引入Fabric模式的原因。
Fabric模式
Fabric模式是将其头部的所有东西翻转的模式。
就像之前的另外两个模式一样，在前面会有一个代理服务器来管理流入流量，但与Router Mesh模式不同的地方就是你用运行在每个容器里的Nginx Plus来替代了集中式的Router。
这个Nginx Plus实例对于所有的HTTP流量作为反向和正向代理，使用这个系统，你可以获得服务发现、健壮的负载均衡和最重要的高性能加密网络。
我们将探讨这是如何发生的，以及我们如何处理这项工作。让我们先来看看一个服务如何连接和分发他们的请求结构的正常流程。
正常的流程
在这个图中，你可以看到投资管理器需要跟用户管理器通讯来获取信息。投资管理器创建了一个HTTP客户端，该客户端针对服务注册中心发起了一个DNS请求并获得返回的一个IP地址，接着初始化了一个到用户管理器的SSL/TLS连接，该连接需要通过九阶段的协商或者是”握手”过程。一旦数据传输完毕，虚拟机会关闭连接并进行HTTP客户端的垃圾回收。
整个过程就是这样。这是相当简单和易于理解的。当你把它分解成这些步骤时，您可以看到该模式是如何真正完成请求和响应过程的。
在Fabric模式中，我们已经改变了这一点。
Fabric模式的细节
你会注意到的第一件事是Nginx Plus是运行在每一个服务里的，并且应用程序代码是在本地与Nginx Plus通信的。因为这些是本地连接，你不需要担心加密问题。它们可以是从Java或者PHP代码到Nginx Plus实例的HTTP请求，并且都是在容器内的本地HTTP请求。
你也注意到Nginx Plus会管理到服务注册中心的连接，我们有一个解析器，通过异步查询注册中心的DNS实例来获取所有的用户管理器实例，并且预先建立连接，这样当Java服务需要从用户管理器请求一些数据的时候，可以使用预先建立的连接。
持久的SSL/TLS连接
微服务之间的有状态的、持久化的并且可以加密的连接是真正的益处。
记得在第一个图中服务实例是如何通过一些流程的吧，比如创建HTTP客户端、协商SSL/TLS连接、发起请求并关闭的吗？在这里，Nginx预先建立了微服务之间的连接，并使用Keepalive特性，保持调用之间的持续连接，这样你就不必为每一个请求处理SSL/TLS协商了。
本质上，我们创建了一个迷你的从服务到服务的VPN连接。在我们最初的测试中，我们发现连接速度增加了77%。
熔断器Plus
在Fabric模式以及Router Mesh模式中，你也可以从创建和使用熔断器模式中获得好处。
本质上，您定义了一个在服务内部的活跃的健康检查，并设置缓存，以便在服务不可用的情况下保留数据，从而获得完整的熔断器功能。
所以，现在我可以确定你认为Fabirc模式听起来很酷，并且想在实际环境中跃跃欲试。
Ⅸ 有人推荐云原生安全，不知道它的优势是什么
您好，你的问题，我之前好像也遇到过，以下是我原来的解决思路和方法，希望能帮助到你，若有错误，还望见谅！展开全部
云原生安全真的不同?它是必须的?我的答案是是的。以下是云原生网络安全的特点，它们展示了这些关键区别，以及它们如何更有效地保护企业安全。
今天，组织所面临的威胁在严重性和频率上增加。根据卡巴斯基实验室的统计，2017年前几个月，手机勒索软件增长超过250%。
这些例子证明，攻击越来越聪明，企业正在变得脆弱，威胁行为者的损害远远超过了好处， 至少在某些情况下。现在是挑战传统智慧的时候了。传统的虚拟机环境和被动策略，虚拟机上的任何需要持续监控的东西都不再适用。
云原生安全真的是不同的吗?这是必须的吗?我会说是的。云原生是企业安全的下一个发展趋势，因为它使每个组织都能够使用现代快速移动组织(如Airbnb，Google和Facebook)使用的相同工具和流程。IT是一种文化而非技术转变。
以下是云原生网络安全的特点，它们展示了这些关键区别，以及它们如何更有效地保护公司安全。
1、云原生安全允许更多的控制
传统的虚拟机安全和云原生安全都可以防止黑客尝试连接到你的服务器。但是，云原生安全可以做更多。由于微服务使用的网络模式更具体和更精确，因此使用机器学习创建预测模型要容易得多。对于传统的虚拟机，多个流程并行运行，创建和维护准确捕获全部允许流量的规则要困难得多。
2、云原生安全防止中间人的黑客入侵
黑客使用的技术之一是在数据中心找到“遗留”的服务，并使用这些升级的权限。云原生计算在这种情况下很有用，因为很少有“意外”或“遗留”服务。
在这里，云，更具体地说，云原生，安全性有助于覆盖整个数据中心，并准确识别哪些元素正在运行，哪些正在暴露。传统虚拟机安全涉及信任IT人员不能区分半暴露服务的事实有助于云原生安全在这种情况下发挥作用。随着你的应用程序的演变和变化，或者即使它没有变化并被放弃，云原生安全性也会随着数据中心的移动，扩展或缩小而不断得到保护。云上安全消除了人为错误导致安全漏洞的风险。
3、云原生安全阻止勒索软件攻击
云原生网络安全还可以帮助减轻勒索软件攻击。当发生违规时，你通常不知道自己已经被击中，但在几秒钟内，病毒可能悄无声息地开始加密网络上的文件。稍后，当加密完成时，会发送赎金票据。
云计算解决方案采用的机器学习技术使组织能够跟踪正常和异常行为，这是检测威胁的强大工具。你可以将主机或微服务级别的元素列入白名单，阻止操作或添加警报，从而使你能够在不非常感谢您的耐心观看，如有帮助请采纳，祝生活愉快！谢谢！
Ⅹ Spring Cloud Security[微服务安全](一)初识Spring Cloud Security和OAuth2.0
在介绍Spring Cloud Security之前，我们先要介绍一下Spring Security。
Spring Security是一套提供了完整的声明式安全访问控制的解决方案。
Spring Security是基于Spring AOP和Servlet过滤器的，它只能服务基于Spring的应用程序。
除常规认证和授权外，它还提供 ACL，LDAP，JAAS，CAS 等高级安全特性以满足复杂环境中的安全需求。
(注:在Spring Security中，Authority和Permission是两个完全独立的概念，两者没有必然的联系。它们之前需要通过配置进行关联。)
安全方案的实现通常分为 认证(Authentication) 和 授权(Authorization) 两部分。
使用者可以使一个 用户 ， 设备 ，和可以在应用程序中执行某种操作的 其它系统 。
认证一般通过用户名和密码的正确性校验来完成通过或拒绝。
Spring Security支持的主流认证如下:
Spring Security进行认证的步骤:
++++++++++++++++++++++++++++++++++++++++++++++++++++++
++ 1. 用户使用用户名和密码登陆
++
++ 2. 过滤器()获取到用户名
++ 和密码，将它们封装成Authentication
++
++ 3. AuthenticationManager认证Token(由Authentication实现类传递)
++
++ 4. AuthenticationManager认证成功，返回一个封装了用户权限信息
++ 的Authentication对象，包含用户的上下文信息(角色列表)
++
++ 5. 将Authentication对象赋值给当前的SecurityContext，建立这个用户
++ 的安全上下文( SecurityContextHolder.getContext.setAuthentication() )
++
++ 6. 当用户进行一些受到访问控制机制保护的操作，访问控制机制会依据
++ 当前安全的上下文信息来检查这个操作所需的权限
++++++++++++++++++++++++++++++++++++++++++++++++++++++
Spring Security提供了一系列基本组件，如spring-security-acl, spring-security-cas, spring-security-oauth2等。
具体这里就不详述了，读者可以查看官网的介绍。
Spring Cloud Security是用于构建微服务系统架构下的安全的应用程序和服务，它可以轻松实现基于微服务架构的统一的安全认证与授权。
Spring Cloud Security相对于Spring Security整合了Zuul，Feign，而且更加完美地整合了OAuth2.0。
OAuth 2.0是用于授权的行业标准协议。
原理:
OAuth2是用户资源和第三方应用之间的一个中间层。
它把资源和第三方应用隔开，使得第三方应用无法直接访问资源，第三方应用要访问资源需要通过提供 凭证(Token) 来获得OAuth 2.0授权。
OAuth2的典型例子:
==============================================
== 微信公众号授权提醒
== 页面弹出一个提示框需要获取我们的个人信息
== 单击确定
== 第三方应用会获取我们在微信公众平台中的个人信息
==============================================
OAuth的关键角色:
在用户授权第三方获取私有资源后，第三方通过获取到的token等信息通过授权服务器认证，然后去资源服务器获取资源。
密码模式中，资源拥有者负责向客户端提供用户名和密码；
客户端根据用户名和密码箱认证服务器申请令牌，正确后认证服务器发放令牌。
客户端请求参数:
缺点:
用户对客户端高度可信，必须把自己的密码发给客户端，存在被黑客窃取的隐患(不推荐)。
在授权码模式中，客户端是通过其后台服务器与认证服务器进行交互的。
授权码模式的运行流程:
从以上图中我们可以看到客户端服务器和认证服务器需经过2次握手，客户端服务器才能拿到最终的访问和更新令牌。
客户端申请认证的参数:
服务器返回的参数:
客户端收到授权码以后，附上重定向URI，向认证服务器申请访问令牌。
客户端申请令牌的参数:
服务器返回的参数:
如果访问令牌已经过期，可以使用更新令牌申请一个新的访问令牌。
通过更新令牌申请访问令牌的参数:
这两种模式不常用，因此在这里就不多叙述了。