SPA + API服務器+第三方OAuth身份驗證

Question

假設我們有SPA，OAuth服務（Google或FB或Linked in）和App服務器（我們的API），它們將SPA服務於客戶端。

我們的SPA從客戶端驗證OAuth對抗第三方，比如谷歌或鏈接或FB，使用的方法被稱為“隱含流”。 通過傳遞額外的步驟返回訪問令牌。 現在我們如何使用此訪問令牌與我們的API進行通信。 它們是分離的。

此時客戶端應用程序（SPA）具有我們從第三方OAuth獲得的令牌和FB | GOOGLE | LINKEDIN user_id。

現在假設我們正在向我們的服務器發出GET請求，它必須是經過身份驗證的請求。 我們如何使用我們從OAuth獲得的這個令牌

1）我們是否使用我們從OAuth獲得的令牌從SPA到我們的APP服務器（我們的api服務器）進行API調用，我們再次從APP服務器重新調用另一個OAuth服務調用，並使用相同的令牌並確保它是一個有效的令牌並從該令牌創建一個JWT並使用jwt進行以下api調用。

2）或者我們使用FB | GOOGLE | LINKEDIN實現標准服務器端OAuth實現，並且在身份驗證之后，我們在該服務器端為該用戶保存該訪問令牌，並將SPA提供給客戶端，並將我們從OAuth服務器獲取的訪問令牌傳遞給客戶端。 現在該令牌可用於跟隨對API調用的調用。

3）或者我們使用FB | GOOGLE | LINKEDIN實現標准服務器端OAuth實現，並且在身份驗證之后我們在服務器端為該用戶保存該訪問令牌並為SPA提供服務但是這次創建了一個JWT並將其提供給客戶端和客戶端現在可以使用JWT進行以下調用。

我不知道正確的方法是什么。 或者，如果它甚至是使用OAuth使用OAAs進行身份驗證的好方法，因為Implicit Grant顯然不是一個好方法。