Spring Security - REST API - token 与 cookie

Question

我用 Java 编写了一个 REST-API，并使用 Spring Security 保护了该 API。流程是这样的:

1. 前端调用后端的/login RestService
2. 后端将 token 返回给前端
3. 在每次 REST-API 后端调用时， token 都必须放置在 header 中

这工作正常，但我读到(使用 Node.JS/Passport.js/Express.js)也可以将带有 cookie 的 session 对象直接传输出去，而无需任何自定义代码。

我现在的问题是是否有更好的方法，以便前端/客户端不需要始终将 token 设置到任何请求的 header 中。

Answer 1

通常，基于 token 的身份验证比基于 cookie 的身份验证具有优势。

您可以使用中间件层来实现这一点

这是一篇很好的帖子 - https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/