java - 设计Web平台身份验证

Question

在构建完整的网络平台(例如商店)时，我有一些架构问题。考虑到 Java、Google App Engine (GAE)、Shiro 和 Restful api 的

考虑一下我的平台有以下 3 个主要组件:

• 前端用户界面
• 管理界面
• 后端

这 3 个组件都作为单独的应用程序在 GAE 平台中运行。

前端ui是指“用户”作为主要UI与系统交互的UI，用Javascript设计并通过Javascript调用后端

管理 UI 是指管理员用于管理平台、平台用户及其内容的 UI。

后端，是前端 UI 和管理 UI 连接到的 Restful 服务器/服务，它公开 /user api 和 /admin api 和 api 完成所提供的 Web 服务的实际逻辑。

我的问题是，身份验证适合在哪里，如果我将身份验证放在后端，如何与前端身份验证一起使用。假设用户通过电子邮件或社交登录(oauth 等)登录，我是否需要向前端提供自己的身份验证，然后转发到后端或在前端，这应该只是 UI 和所有操作，例如登录/注销必须通过后端。

如果我使用Shiro，如何实现这一点。我真的更喜欢前端 UI 尽可能最小，甚至只是单页应用程序 (SPA) 或类似的东西。这样，在身份验证方面，前端 UI 和后端(考虑到它们都是不同的 GAE 应用程序)的绑定(bind)应该是什么

Answer 1

请将此视为一个建议，而不是一个答案。我知道您的问题是关于 Java 版本的 GAE，但您总是可以从其他实现中获得启发。 Gae-init是一个 Web 应用程序框架，展示了大部分良好实践。作为贡献者，我发现它总结了过去几年的知识，并且是初始化大型 Web 应用程序的绝佳起点。我非常有信心您在 Python 实现中不会遇到任何问题;)