Javascript 不知道这是不是'；这是认证网站的最佳方式

我开始建立一个网站

在该网站中，我想只向经过身份验证的用户授予某些资源的权限/

我想知道by flow是否可以：

用户使用用户和密码登录网站，然后服务器响应为访问令牌

1。用户登录：

{
    "access_token": "piF3...AFFNs",
    "token_type": "bearer",
    "expires_in": 86399
}

url: http://.../resource1

Header:

Authorization : Bearer piF3...AFFNs

当用户登录I并通过JavaScript向服务器发出http请求时，客户端发送请求：

url: http://.../login

body:

{
 "username":"<some user>",
 "password":"<some password>",
 "grant_type":"password",
}

3。用户请求资源：

{
    "access_token": "piF3...AFFNs",
    "token_type": "bearer",
    "expires_in": 86399
}

url: http://.../resource1

Header:

Authorization : Bearer piF3...AFFNs

我不确定这个流是否更适合RESTAPI，或者这种方式对网站进行身份验证是否是惯例