实施客户端-服务器身份验证的最佳实践

Question

我正在寻找实现客户端-服务器身份验证（本地+社交）的最佳实践。 现在，我正在分别开发后端和前端。 之前我通过下一个流程进行了身份验证：

登录->接收令牌->调用api

我还需要找到一种将令牌也添加到黑名单中的方法。 技术堆栈：node.js（帆）前端：角度

此外，前端应用程序应可用于调用多个服务器的api。 这意味着前端应用程序只能在主服务器上登录一次，并且可以调用另一个api。

我对开箱即用的解决方案很感兴趣。

Answer 1

如果您将JSON Web令牌（JWT）用作令牌，则可以将唯一的随机值作为jti声明放入令牌中。 您将这些jti值存储在数据库中，并将其用作黑名单。

如果您想阅读有关使用API​​的单页应用程序的JWT最佳实践的信息，请参阅我撰写的有关此主题的博客文章： 单页应用程序的基于令牌的身份验证。

关于开箱即用的解决方案：我在Stormapth工作，我们的Stormpath Angular SDK中提供了这样的解决方案。