java - Spring Boot + Ionic 应用程序身份验证

Question

我正在使用 Ionic 3 开发一个混合应用程序，它将与我将使用 Spring Boot 编写的 REST Api 服务进行通信。

我在设置正确的注册/登录机制时遇到一些困难。我想要实现的是，用户在移动应用程序上注册，然后使用他的用户名和密码登录，然后每当他打开应用程序时，只要他不单击“注销”按钮，他就会始终登录(无需再次传递凭据)。

我尝试的方法是，在 Spring Secutiry 的帮助下，当用户使用其凭据登录时，他会收到一个 JWT token ，该 token 保存在客户端(应用程序端)，然后在每个 subseqnet 请求的 header 中使用。

这个解决方案的问题是我必须设置 JWT 过期日期(例如 10 天、30 天)，然后，当该时间过去时，用户将必须再次输入他的凭据才能接收新 token 。我想避免这种情况。另一个问题是，没有机制可以在有必要时使 JWT token 失效。

另一种选择是我认为将访问 token 有效期设置为 30 分钟左右，然后接收带有刷新 token 的新 token 。然而，这还需要客户端 ID 和客户端 key ，我认为将其存储在客户端应用程序中并不安全。

对于这种情况，最佳做法是什么？请帮忙并谢谢:)

Answer 1

Ionic 的存储模块会很有帮助。

想法:第一次发送身份验证请求如果数据经过身份验证，则将响应保存在本地存储中(基本上是用户数据)如果用户注销，您可以删除存储。

更多信息可以在 Ionic Storage