Javascript SPA和SSO中无状态身份验证的性能（单点登录）
如果我有一个SPA（使用BackboneJS开发的单页应用程序），并且希望其数据有一个无状态RESTful后端API。我喜欢第三方单点登录如何让用户的事情变得如此简单，因此会喜欢它使用它Javascript SPA和SSO中无状态身份验证的性能（单点登录）,javascript,node.js,rest,authentication,Javascript,Node.js,Rest,Authentication,如果我有一个SPA（使用BackboneJS开发的单页应用程序），并且希望其数据有一个无状态RESTful后端API。我喜欢第三方单点登录如何让用户的事情变得如此简单，因此会喜欢它使用它 但我知道在这样一个无状态的环境中，身份验证是在每个请求上完成的吗？如果是这样，如果我使用的是第三方SSO，例如GitHub，我是否每次都需要转到GitHub对用户进行身份验证？对于这种情况，最佳做法是什么？我相信这是一个非常常见的用例我允许用户通过Google/GitHub或其他方式登录，然后从一些无状态RES
但我知道在这样一个无状态的环境中，身份验证是在每个请求上完成的吗？如果是这样，如果我使用的是第三方SSO，例如GitHub，我是否每次都需要转到GitHub对用户进行身份验证？对于这种情况，最佳做法是什么？我相信这是一个非常常见的用例我允许用户通过Google/GitHub或其他方式登录，然后从一些无状态REST API获取数据，实现方法是在客户端（主干网）和RESTful Web服务器之间引入代理。代理结合SSO管理用户的身份验证。因此，无需更改api和/或客户端/Web服务器。下面是一个快速演示：
var http = require('http'),
httpProxy = require('http-proxy'),
express = require('express');
var proxy = new httpProxy.RoutingProxy();
var app = express();
function ensureAuthenticated(req, res, next) {
if (isLoggedIn) { return next(); }
res.redirect('/');
}
// This should be your (RESTful) webserver
http.createServer(function (req, res) {
res.writeHead(200, { 'Content-Type': 'text/plain' });
res.write('request successfully proxied!' + '\n' + JSON.stringify(req.headers, true, 2));
res.end();
}).listen(9000);
var isLoggedIn = false;
app.get('/', function(req, res){
console.log(isLoggedIn)
res.send('Logged in? ' + isLoggedIn);
});
app.get('/login', function(req, res){
isLoggedIn = true;
res.redirect('/');
});
app.get('/logout', function(req, res){
isLoggedIn = false;
res.redirect('/');
});
app.all('/api/*', ensureAuthenticated, function(req, res) {
return proxy.proxyRequest(req, res, {
host: 'localhost',
port: 9000
});
});
app.listen(8000);
/api/something//login/api/*特别是，当您设置
app.all（“/*”，…）首先，我认为你应该100%无国籍。100%，我的意思是100%：）不仅您的API层应该是无状态的，而且整个应用程序（当然，除了客户端）也应该是无状态的。将会话移动到另一层（如redis）只会稍微移动问题，但无法解决问题。一切（尤其是缩放）都会变得容易得多，稍后您会感谢自己的决定 因此，是的，您需要对每个请求进行身份验证。但这并不意味着您每次都必须访问身份验证提供程序。我学到的一点是，允许用户通过FB/GitHub/任何东西（从现在起，远程服务）进行身份验证只是为了减轻注册/登录的痛苦，而不是别的。你仍然需要增加你的个人用户数据库。当然，每个用户都将关联到一个“远程”用户，但在执行身份验证后不久，应用程序应该引用“您的”用户，而不是“远程”用户（例如GitHub用户） 实施 以下是我实施的内容：
POST/api/board？name=[a_name]&auth=[my_令牌]boardauthtok