基于令牌的身份验证 http 拦截器

Question

我想听听您的意见，以实现某些目标。我有一个 api，我想限制用户的访问。但是长话短说，在页面 /login 的操作登录控制器中，我为经过身份验证的用户生成令牌并将其返回。好吧，这是我的一个问题/问题。在动作控制器中必须返回响应，并且我的令牌以 json 格式发送并显示在浏览器上，但我不想要这个，我只想保持响应或以某种方式保持我的角度部分该令牌并以它的方式照顾它。所以我的方法登录：

  public function loginAction(Request $request)
{

    $username= $this->get('security.token_storage')->getToken()->getUser()->getEmail();
    $serviceUser = $this->container->get('ubb_user_login');
    $tokenUser = $serviceUser->generateToken($username);
    $response = new JsonResponse(array('Token' => $tokenUser));

    return $response;
}

第二个问题。我不知道在哪里提取令牌。在控制器中我尝试了一些东西：

app.controller('loginApi', function ($scope, $http, $window){

$http.get(
    '/api/user/login'
).then(function (success) {
    $scope.token = success.data.Token;
    $window.localStorage.setItem('Token', token); // it's okay used like this localStorage?
});
});

在这里，我只想从 /login 操作中获取令牌，将其保存在本地存储中，然后使用 $http 请求拦截器在每个请求上显示它。那部分有效。如果我在标头身份验证中发送一个随机字符串，它正在工作，它让我可以访问 api：

function httpInterceptor() {
return {
    request: function(config) {
        config.headers.authorization = 'jdjdnnkdkd';
        return config;
    },
    responseError: function(errorResponse) {
        switch (errorResponse.status) {
            case 403:
                window.location = '/login';
                break;
            case 401:
                window.location = '/login';
        }
        return $q.reject(errorResponse);
    }
 }
 }

所以，我遇到的问题： 1）如何发送令牌以使角度接受它，但不显示在浏览器中？假设我有一个访问 api 的菜单，如果用户未通过身份验证，单击未经身份验证的链接将在登录页面上发送给我，在我成功验证后，将我重定向到菜单上？ 2）返回令牌后，究竟在哪里使用它？在哪个控制器中？以及如何保存？

非常感谢，谢谢。

Answer 1

您似乎需要一个单独的 api 资源来处理令牌。您是否尝试过使用FOSOAuthServeBundle？它对设置 oauth 身份验证、令牌等有很大帮助。

一般来说，您需要单独调用令牌，即：

• Angular 应用向 get token 资源发出请求，返回一个令牌并临时存储在 Angular 应用中
• 为每个后续请求使用该令牌 - 检查 oauth 包配置，了解如何设置哪些 url 必须受到 oauth 保护，但该包会为您处理此问题

关于您的角度问题，请查看此 q/a How to store authentication bearer token in browser cookie using AngularJS