Отдельный API-интерфейс пользователя/администратора?

Question

Я создаю приложение для нескольких арендаторов, используя Angular и Node.js, разумно ли иметь тот же API для пользователей Front End (Public) и Admin Area (Tenants)?

Для области администрирования требуется аутентификация для просмотра и изменения конфиденциальных данных, но я не понимаю, почему остальная часть API не может быть оставлена ​​открытой для внешнего интерфейса, которая только запрашивает данные?

Это хорошая идея? Это вызовет проблемы в будущем?

Я ищу, чтобы пойти на следующую структуру приложения:

• Передняя часть: tenant-name.domain.com (Открыть в общественности) области

• Админ: domain.com/ Администратор (с логином и токен аутентификации)

• API: api.domain.com

Было бы хорошей идеей, чтобы аутентификация переднего интерфейса клиента с помощью API?

Answer 1

Я бы предположил, что для вызовов API-интерфейсов администратор требует, чтобы токен аутентификации передавался по всем вызовам API. Вы можете вводить токен в заголовки с помощью HTTP-перехватчиков в Angular. Пользователь, у которого еще нет токена авторизации, должен войти в систему, чтобы получить его. Введенный токен аутентификации должен быть всей необходимой вам защитой.

Answer 2

Я предлагаю вам создать токен, когда анонимный пользователь запросит ваш API. Причина в том, что вы всегда можете определить, кто его просил.