Attualmente sto facendo ricerche per proteggere le chiamate API interne e mi sono interessato alla firma delle richieste poiché sembra abbastanza sicuro (usare un segreto che non invierai a nessuno per firmare la tua richiesta è abbastanza sicuro).
Il mio problema è che la maggior parte dei servizi gateway API offre meccanismi OAuth2. Ho seri dubbi sulla sua sicurezza.
Qualcuno può spiegare se è effettivamente sicuro inviare le credenziali per ottenere un token e usarlo in un'intestazione Authorization ?
Non posso fare a meno di ritenere che chiunque possa ottenere con successo le informazioni della prima richiesta avrà tutto ciò di cui ha bisogno per impersonarti sulle future chiamate API.