单独的用户/管理员 API？

Question

我正在使用 Angular 和 Node.js 构建一个多租户应用程序，为前端用户（公共）和管理区域用户（租户）使用相同的 API 是否明智？

管理区需要验证才能查看和修改敏感数据，但我不明白为什么 API 的其余部分不能对仅查询数据的前端开放？

这是个好主意吗？以后会不会出现问题？

我正在寻找以下应用程序结构：

• 前端：tenant-name.domain.com（对公众开放）

• 管理区域：domain.com/admin（带有登录名和令牌认证）

• API：api.domain.com

让客户端的前端通过 API 进行身份验证是个好主意吗？

Answer 1

我建议管理区域 API 调用需要在所有 API 调用上传递身份验证令牌。您可以使用 Angular 中的 http 请求拦截器将令牌注入标头中。还没有身份验证令牌的用户必须登录才能获得。注入的身份验证令牌应该是您需要的所有安全性。

Answer 2

我建议您在匿名用户请求您的 API 时创建一个令牌。这样做的原因是您始终可以确定谁请求了什么。