应用程序/API 身份验证方法建议

Question

我正在构建一个移动应用程序 (Ionic/Cordova)，它将调用一个 API (NodeJS)，我正在尝试提出一种既简单又有效的用户身份验证方法：

1. 让用户登录移动应用并
2. 保护 API，以便只有登录用户才能调用 API
3. API 可以识别调用它的用户

理想情况下，我会使用 Auth0 之类的东西将用户登录到应用程序，因为我不想处理密码等问题。

所以我知道我可以构建我的 HTML5/Javascript 应用程序并使用 Auth0，它会将用户登录到应用程序，但我想了解的部分是如何设置它，以便在用户登录和他们的应用调用 NodeJS API，API 代码会知道用户是谁？

我可以只使用 Auth0 的 NodeJS 护照模块，然后将令牌从应用程序传递到 API，然后它会像魔术一样工作吗？或者我是否需要在 API 本身中做一些不同的事情，比如构建一个 oauth 机制？

对于如何在这种情况下保护 API 的任何建议，我们将不胜感激。理想情况下，我不想在 API 中构建自己的身份验证/令牌系统。

Answer 1

是的，护照也可以帮助您开发简单的身份验证机制。比如用户名密码。登录一次并保持登录状态一段时间。

check this tutorial

要获取令牌，您必须添加登录 API。在登录 API 中，您验证用户名和密码。然后生成一个 jwt 令牌并传递给客户端。

 var token = jwt.encode(user, config.secret);

现在在您的移动应用程序中，您可以在客户端保存为 cookie 或本地存储。

window.localStorage.setItem('token', 'the-long-access-token');

然后在您调用受限的 API 之后。你传递令牌。像这样

var token = window.localStorage.getItem('token');

 if (token) {
   $.ajaxSetup({
     headers: {
      'x-access-token': token
    }
  });
}