有沒有安全的方法可以在SPA中使用Basic Auth REST API創建用戶會話？

Question

我需要基於AngularJS構建一個單頁應用程序，該應用程序將從REST API中檢索數據。 這些REST服務使用基本身份驗證+ HTTPS進行保護。

有沒有在SPA中提供用戶會話的安全方法？ 我的意思是，沒有像令牌提供程序（例如OAuthV2）這樣的額外組件。 我正在考慮在登錄頁面上驗證用戶一段時間內對APP的訪問權限以及注銷操作。

更多問題：

1）基本認證在每個請求上都需要用戶憑證。 但是，SPA不應存儲用於在每個請求上發送用戶憑據的用戶憑據，對嗎？ （本地/會話存儲在HTTPS網頁中可見嗎？）

2）在驗證第一個請求后，瀏覽器是否會自動發送基本身份驗證標頭？ 然后，有什么方法可以注銷嗎？

非常感謝！ 塞爾吉

Answer 1

我很感謝專家的意見，但這似乎可行：

• 用戶在登錄頁面提交其用戶名和密碼。 AngularJS SPA在cookie（$ cookiestore）中設置憑據
• SPA使用基本身份驗證調用后端的登錄服務。
• 如果登錄成功，則cookie將存儲憑據，並在每次請求時自動發送。
• 注銷應刪除cookie以刪除用戶的會話。

與本地存儲不同，由於通信由HTTPS保護，因此無法讀取包含用戶憑據的cookie。