在我的情況下使用令牌認證是必要的嗎？

Question

我正在構建一個Web應用程序，它依賴於客戶端mvc，它使用rails向服務器發送ajax調用以從數據庫獲取數據。

我認爲，由於ajax調用是要求用戶使用設計進行身份驗證的控制器，我不得不使用令牌可驗證來驗證ajax調用。

但我注意到，如果用戶登錄不是因爲會話數據以正常的方式存儲並與每個AJAX調用發送就沒有必要使用令牌認證...

這是一個糟糕的進場？

Answer 1

我沒有看到任何問題。如果用戶已經登錄，比任何Ajax請求都已經通過身份驗證。但是，如果用戶註銷，則ajax請求也將被取消認證，並且如果ajax調用的控制器需要認證，則可能會被拒絕。根據我的理解，身份驗證令牌是讓用戶登錄以獲取特定請求，而無需用戶先登錄，例如向用戶發送帶有投票鏈接的郵件等。我認爲如果用戶遵循該鏈接，瀏覽器會自動登錄它們，並在沒有令牌的情況下爲後續請求堅持這一事實。