在主域中的 SPA（子域）和 API 之间共享用户会话

Question

我在一个 SPA（单页应用程序）中工作，我的想法是将它部署在 app.mydomain.com 中，问题是当我向 API（mydomain.com 中的 CakePHP3）发出请求时无法从经过身份验证的用户那里获取数据（如果有的话）。

我想我有两个选择，在域之间共享会话，或者使用 user_token 进行经过身份验证的调用，但我不确定它是如何工作的。

有什么想法/建议吗？

问候！

Answer 1

我建议使用“user_token”。您可以将身份验证端点添加到您的 API，用户在其中发送凭据，并且端点返回 JWT。然后，您应该将此 JWT 包含在对 API 的每个后续请求中（在 Authorization 标头中）。然后 API 可以根据 JWT 验证请求。在 PHP 中已经有一些很好的库来创建和验证 JWT。如果你有时间，你也应该看看 OAuth2。