【发布时间】：2013-03-27 20:59:29
【问题描述】：
我正在构建一个单页应用程序和一个 REST API 来处理来自客户端和任何可能的第三方客户端的请求。
我的想法是创建三个服务器：
- A - API，基于 OAuth
- B - 带有 html/css/js 文件 + 部分/视图的静态文件
- C - 处理登录的 Web 服务器（节点或 python 或任何东西）
可能第四个处理与 Redis 或其他任何东西的会话。
我希望 SPA 让用户注册和/或登录到服务器 C，给他一个访问令牌并让他直接与 API (A) 对话。
我的问题是处理这个问题的正确机制是什么？
- 将带有访问令牌的会话 cookie 设置到主应用程序客户端 (SPA)，这样只要会话存在，它就可以与 REST API 对话
- 为了避免创建服务器 C 并在服务器 A 中处理身份验证，（那么第三方服务呢？）
- 其他的
我的问题有点混乱，请随时向我询问更多详细信息。
【问题讨论】：
-
我刚才问了一个类似的问题，但没有得到太多反馈：stackoverflow.com/questions/15362639/… - 我建议从简单（r）开始...
-
是的，我已经看到了这个问题以及更多问题，但不幸的是，这对我来说听起来不够清楚。 “简单（r）”是什么意思？
-
一开始就将 OAuth 排除在外...也许您可以使用刚刚签名的请求？
标签： security rest web oauth single-page-application