来自Appgyver Supersonic Mobile App的Express / Nodejs身份验证

Question

我的无知正照耀着这个。 我有一个使用MEAN堆栈（Mongo，Express，Angularjs，Nodejs）的Web应用程序，其中一些功能在移动设备上表现欠佳。 因此，我正在Appgyver Supersonic平台上开发该应用程序的移动版本。 Appgyver框架基于Angularjs前端。

因此，我希望只使用为Web App运行的同一Express / Nodejs服务器，并通过移动App进行查询/请求。 身份验证是我当前的挑战。 我假设我可以通过POST请求发送用户名和密码，然后登录并创建一个新会话。 我可以登录，但无法访问会话cookie connect.sid，因此我的下一个请求中没有会话数据。

TLDR; 我有一个与我的Express / Nodejs后端不同的服务器上的Angular应用程序。 我希望对Angular应用程序进行身份验证，但无法弄清楚如何访问connect.sid cookie。

Answer 1

由于这从来没有受到任何关注，我发现了我认为是“可行的”解决方案，所以我想我会回答自己的问题。 如果您发现我在这里做的事情确实很愚蠢，请告诉我。

当我将客户端登录到服务器时，我以会话令牌进行响应。 我将同一令牌存储在Mongoose的用户个人资料中。 我使用localStorage将令牌存储在移动设备上。

每当我向服务器发送请求时，我都将其与令牌一起发送，并让服务器检查该令牌是否与用户令牌匹配-如果匹配，我将获取用户配置文件数据并将其分配给req.user; 这似乎使后端正常运行。

是否有重大安全问题？