Безопасный и простой способ аутентификации для SPA

Question

Я ищу хороший процесс аутентификации в SPA.
Я думаю, что процесс, который описывает dewastator in this question, кажется хорошим, но процесс the article того, что представляет собой thierry templier в his answer, кажется более сложным, так как он использует «mac_key», «refresh_token» и т. Д.
Недостаточно ли просто использовать идентификатор входа, пароль и токен доступа для аутентификации? Я не думаю, чтобы API-интерфейсы разрешали запросы на перекрестный поиск

Answer 1

Да, вы можете просто обменять имя пользователя & пароль для доступа к токену. Это Resource Owner Password Credentials Grant. Это самый простой способ защитить приложение единой страницы (SPA).

Я рекомендую использовать JWT для формата токена и cookie HTTPS только в качестве защищенного механизма хранения. Я осветил эти темы в своей недавней статье в блоге, Token Based Authentication for Single Page Apps

Отказ от ответственности: Я работаю в Stormpath. Мы много работаем с SPA-центрами, и у нас есть полное решение для JavaScript для проверки токенов в нашем Stormpath Angular SDK