网站和自有API之间的身份验证

这就是我处理这种情况的方式；

1. 当然，请使用HTTPS将用户名和密码以纯文本格式发布到您的api。
2. 然后将其验证到您的数据库中，当今用于加密码的最佳算法是bcrypt。
3. 如果用户无效，则返回401或其他。
4. 如果用户有效，则返回一个JWT令牌，该令牌的个人资料已用公钥算法签名。
5. 您的朋友知道公钥，因此它可以解码JWT，但不能生成新的。
6. 对于每个需要身份验证的请求，您都附加一个Authentication标头，Bearer [JWT]
7. 后端中的中间件读取此标头并使用私钥对其进行验证。

不必担心JWT，每种语言和框架都有很多实现，而且比您想象的要容易。甚至Google也已经有许多应用程序在使用JWT。

Auth0是一个身份验证代理，可以针对任何身份提供者或自定义数据库进行验证，并返回JWT。它提供了一个clientID（可用于对前端的配置文件进行解码）和一个密码（可用于验证后端中的令牌）以及用于执行此操作的客户端库。

免责声明：我为auth0工作。

更新：由于您提到了node.js并在注释中表示，因此我将举一个使用该技术的示例。

var http = require('http');
var express = require('express');

var jwt = require('jsonwebtoken');  //https://npmjs.org/package/node-jsonwebtoken
var expressJwt = require('express-jwt'); //https://npmjs.org/package/express-jwt

var secret = "this is the secret secret secret 12356";


var app = express();

app.configure(function () {
  this.use(express.urlencoded());
  this.use(express.json());
  this.use('/api', expressJwt({secret: secret}));
});

//authentication endpoint
app.post('/authenticate', function (req, res) {
  //validate req.body.username and req.body.password
  //if is invalid, return 401
  var profile = {
    first_name: 'John',
    last_name: 'Foo',
    email: '[email protected]',
    id: 123
  };

  var token = jwt.sign(profile, secret, {
    expiresInMinutes: 60*5
  });

  res.json({
    token: token
  });
});

//protected api
app.get('/api/something', function (req, res) {
  console.log('user ' + req.user.email + ' is calling /something');
  res.json({
    name: 'foo'
  });
});

//sample page
app.get('/', function (req, res) {
  res.sendfile(__dirname + '/index.html');
});

http.createServer(app).listen(8080, function () {
  console.log('listening on http://localhost:8080');
});

这是一个具有一个可验证用户名和密码的端点的快速应用程序。如果凭据有效，则它将返回具有完整配置文件的JWT令牌，有效期为5小时。

然后，在其中有一个示例端点，/api/something但是由于我拥有用于​​其中所有内容的express-jwt中间件，/api因此需要一个Authorization：Bearer标头和一个有效的令牌。中间件不仅验证令牌，还解析配置文件并将其放在req.user上。

如何使用此客户端？这是jquery的示例：

//this is used to parse the profile
function url_base64_decode(str) {
  var output = str.replace("-", "+").replace("_", "/");
  switch (output.length % 4) {
    case 0:
      break;
    case 2:
      output += "==";
      break;
    case 3:
      output += "=";
      break;
    default:
      throw "Illegal base64url string!";
  }
  return window.atob(output); //polifyll https://github.com/davidchambers/Base64.js
}
var token;

//authenticate at some point in your page
$(function () {
    $.ajax({
        url: '/authenticate',
        type: 'POST',
        data: {
            username: 'john',
            password: 'foo'
        }
    }).done(function (authResult) {
        token = authResult.token;
        var encoded = token.split('.')[1];
        var profile = JSON.parse(url_base64_decode(encoded));
        alert('Hello ' + profile.first_name + ' ' + profile.last_name);
    });
});

//send the authorization header with token on every call to the api
$.ajaxSetup({
    beforeSend: function(xhr) {
        if (!token) return;
        xhr.setRequestHeader('Authorization', 'Bearer ' + token);
    }
});

//api call
setTimeout(function () {
    $.ajax({
        url: '/api/something',
    }).done(function (res) {
        console.log(rest);
    });
}, 5000);

首先，我使用用户名和密码进行了身份验证呼叫，可以在JWT中解码配置文件以获取用户配置文件，还保存令牌以供以后在每个请求中使用。

ajaxSetup / beforeSend技巧为每个调用添加标题。因此，然后我可以向/ api / something发出请求。

如您所见，这种方法不使用Cookie和会话，因此在CORS场景中开箱即用。

我是passport.js的忠实拥护者，并且为其他适配器提供了很多适配器和修复程序，但在这种情况下，我将不使用它。