Propagar la identidad del usuario entre servicios

Cuando el usuario Carlos solicita una compra, su navegador envía un token al servicio de catálogo (svc-catalogo). Para procesar el pedido, svc-catalogo debe llamar a svc-ordenes, y este a svc-pagos. Si el servicio simplemente reenvía el token original sin restricciones o añade una cabecera simple como X-User-Id: carlos, cualquier microservicio intermedio comprometido puede alterar la cabecera para ejecutar pagos a nombre de otro usuario, o reutilizar el token original para consultar otros servicios ajenos a la transacción.

El estándar OAuth 2.0 Token Exchange (RFC 8693) permite intercambiar el token de usuario por un token derivado de corta vida, acotado a la audiencia específica del servicio receptor y preservando la cadena de delegación.

El análisis de mecanismos de propagación compara los riesgos y beneficios de cada enfoque técnico.

Abre el laboratorio y lee propagacion-contexto.txt. Identifica la tecnología estándar recomendada que genera tokens acotados con audiencia.

La misma tabla identifica el antipatrón peligroso utilizado en sistemas con madurez deficiente.

Revisa la tabla técnica y localiza qué mecanismo figura clasificado como PELIGRO por ser vulnerable a falsificación interna.

El microservicio de pagos (svc-pagos) debe validar la firma asimétrica del token contra las llaves públicas del proveedor de identidad antes de procesar cualquier transacción financiera.