java - 无需用户名/密码的自定义身份验证

Question

我正在开发一个Web应用程序(后端:JAVA/无状态REST API)(前端:Angular)，它最终被放置在另一个Web应用程序中。(假设是父应用程序)。基于 session 的父应用程序通过用户名/密码处理身份验证并为每个用户创建 token 。一旦用户能够登录父应用程序，他或她也应该能够访问我的应用程序。值得一提的是，该 token 还可用于通过我的应用程序中的 SOAP 调用检索用户数据。

我的想法是通过我的前端组件获取此 token 并将其发送到我的 REST Api。我将把这些 token 保存在并发 HashMap 中，对于来自 FE 的每个调用，我将检查 BE 上的 token 以进行授权。我想知道这是否是正确的方法？

Answer 1

当父应用的 session 过期或用户注销时， token 是否会失效？

如果是，您的应用如何知道 token 已失效？这是检查BE上的 token 吗？ (这需要针对每个请求完成)

如果共享 session 不是一种选择，那么您的方法是合理的。

此外，为了安全起见，REST 调用应始终为 HTTPS(如果不是，则拒绝请求)，并考虑在 header 中而不是在 URL 上传递 token 作为查询参数。