沒有用戶名/密碼的自定義身份驗證

Question

我正在開發一個Web應用程序（後端：JAVA /無狀態REST API）（前端：Angular），最終被放置在另一個Web應用程序中（假設父應用程序）。 基於會話的父應用程序通過用戶名/密碼處理身份驗證，併爲每個用戶創建令牌。一旦用戶能夠登錄父應用程序，他或她也應該能夠訪問我的應用程序。這是很好的提及的標記也可以用來通過我的應用程序的SOAP調用來檢索用戶數據。

我的想法是將此令牌與我的前端組件一起發送給我的REST Api。我將把這些標記保存在一個併發散列映射中，並且對於來自FE的每個調用，我將檢查BE上的標記以進行授權。我想知道這是否是一種正確的方法？

Answer 1

當父應用程序的會話過期或用戶註銷時，令牌無效？

如果是，您的應用程序如何知道令牌失效？是檢查BE上的令牌嗎？ （這將需要爲每個請求完成）

如果共享會話不是一個選項，那麼你的方法是合理的。

另外，爲了安全起見，REST調用應始終爲HTTPS（如果不是，請拒絕請求），並考慮將標記傳遞到標題中而不是URL上作爲查詢參數。