angularjs - 单独的用户/管理员 API？

Question

我正在使用 Angular 和 Node.js 构建 Multi-Tenancy 应用程序，为前端用户(公共(public))和管理区域用户(租户)使用相同的 API 是否明智？

管理区域将需要身份验证才能查看和修改敏感数据，但我不明白为什么 API 的其余部分不能对仅查询数据的前端保持开放？

这是个好主意吗？它会导致进一步的问题吗？

我希望采用以下应用程序结构:

• 前端:tenant-name.domain.com(向公众开放)

• 管理区域:domain.com/admin(具有登录名和 token 身份验证)

• API:api.domain.com

让客户端前端使用 API 进行身份验证是个好主意吗？

Answer 1

我建议管理区域 API 调用需要在所有 API 调用上传递身份验证 token 。您可以使用 Angular 中的 http 请求拦截器将 token 注入(inject)到 header 中。还没有身份验证 token 的用户必须登录才能获取一个。注入(inject)的身份验证 token 应该是您需要的所有安全性。