是否有一种使用保护SPA和API的经典方法？

Question

我想使用为SPA和REST提供服务，这两个API都是在身份验证墙后面保护的。

有什么推荐的方法吗？

到目前为止，我已经找到了关于如何保护API (而不是SPA )的教程。两端都来自不同的项目，但我希望有一个独特的身份验证步骤。

典型的流动将是：

1. 在提供SPA源代码之前，请先进行身份验证。
2. 认证后，向SPA提供服务，并允许SPA访问API资源。

谢谢!

Answer 1

到目前为止，我已经查看了文档，似乎没有任何特定的推荐方法来验证Google中的SPA。

但是，我认为一种非常安全的方法是使用谷歌的工具包标识API对应用程序进行身份验证。这个过程将是从API调用这个API作为第一个必要的要求。

此方法适用于Oauth2 存取令牌。我认为您可以在启动应用程序和授予对其他资源/API的访问之前向用户请求身份验证凭据。