Пользовательская аутентификация без имени пользователя/пароля

Question

Я разрабатываю веб-приложение (Back end: JAVA/stateless REST API) (Front end: Angular), который в конечном итоге помещается в другое веб-приложение (скажем, родительское приложение). Родительское приложение, основанное на сеансе, проверяет подлинность по имени пользователя/паролю и создает токен для каждого пользователя. После того, как пользователь сможет войти в родительское приложение, он должен также получить доступ к моему приложению. Хорошо отметить, что токен также может использоваться для извлечения пользовательских данных по SOAP-вызову из моего приложения.

Моя идея - получить этот токен с моим компонентом переднего конца и отправить его в мой REST Api. Я собираюсь сохранить эти маркеры внутри параллельной хэш-карты, и для каждого вызова, исходящего от FE, я проверю токен на BE для авторизации. Интересно, правильно ли он подходит?

Answer 1

Когда срок действия родительского приложения заканчивается или пользователь выходит из системы, это признак недействителен?

Если да, то как ваше приложение знает, что токен был признан недействительным? Это то, что проверить токен на BE? (что необходимо было бы сделать для каждого запроса)

Если общий сеанс не является вариантом, ваш подход разумный.

Кроме того, для обеспечения безопасности вызовы REST всегда должны быть HTTPS (отказать в запросе, если нет), и рассмотреть возможность передачи токена в заголовке вместо URL-адреса в качестве параметра запроса.