设计 Web 平台身份验证答案

【问题标题】：Designing a web platform authentication设计 Web 平台身份验证
【发布时间】：2013-08-06 00:50:32
【问题描述】：

在构建完整的网络平台（例如商店）时，我遇到了一些架构问题。考虑到 Java、Google App Engine (GAE)、Shiro 和 Restful api

假设我有平台的这 3 个主要组件：

前端用户界面
管理界面
后端

这 3 个组件都在 GAE 平台中作为单独的应用程序运行。

前端 ui是指“用户”作为主要UI与系统交互的UI，使用Javascript设计并通过Javascript调用后端

管理 UI 是指管理员用来管理平台、其用户及其内容的 UI。

Backend，是前端 UI 和 Admin-UI 都连接到的 Restful 服务器/服务，它暴露了 /user api 和 /admin api 和完成实际逻辑的 api所提供的网络服务。

我的问题是，身份验证在哪里适合它，如果我将身份验证放在后端，前端身份验证将如何工作。假设用户通过电子邮件或社交登录（oauth 等）登录我是否需要提供前端自己的身份验证然后转发到后端或在前端这应该只是 UI 和所有操作，如登录/注销必须通过后端。

如果我使用 Shiro，如何实现。我真的更喜欢前端 UI 尽可能小，甚至只是一个单页应用程序 (SPA) 或类似的东西。有了这个，前端 UI 和后端（考虑到它们都是不同的 GAE 应用程序）在身份验证方面的绑定应该是什么

【问题讨论】：

标签： java api google-app-engine rest shiro

【解决方案1】：

更多地认为这是一个建议，而不是一个答案。我知道您的问题是关于 GAE 的 Java 版本，但您总是可以从其他实现中获得灵感。 Gae-init 是一个 Web 应用程序框架，它展示了大部分的良好实践。作为贡献者，我发现它提炼了过去几年的知识，是初始化大型 Web 应用程序的绝佳起点。我非常有信心你不会在 Python 实现中遇到任何问题 ;)

【讨论】：