能否提供个前后端分离的例子

[chinesedragon]

目前，前后端分离开发的概念非常火，而且感觉也比较适合我们公司目前的状态，但是其它人对这个技术不是很了解。
公司开发一个产品，有网页端，有手机端，所以目前想法是做一套后台接口，同时给网页端和手机端使用。
RESTFUL 接口大家都知道怎么做，springmvc 就可以做，就是身份验证部分不知道怎么做。
所以想请 V 友给讲讲，后台 rest 接口如何做身份验证。
如果能有个例子那就更好了，例子最好是简单一点的，js 提交身份信息，后台验证返回结果，然后再 js 请求资源，后台验证身份若通过验证则返回资源信息。

[throns]

JWT 呀

[pkaq]

JWT

[biabia123456]

我自己的项目是 jwt + redis 做身份认证

[chinesedragon]

@throns
@pkaq
@biabia123456 谢谢，我查查去。不知道有例子没有

[chairuosen]

一般后端接口前面有一层网关，后端接口不验证身份，网关验证后放行。

[server]

[不要用 JWT 来做 Web 应用的会话管理
]( https://blog.m31271n.com/2017/07/22/%E4%B8%8D%E8%A6%81%E7%94%A8-JWT-%E6%9D%A5%E5%81%9A-Web-%E5%BA%94%E7%94%A8%E7%9A%84%E4%BC%9A%E8%AF%9D%E7%AE%A1%E7%90%86/), lz 参考

[whypool]

后端：留一个固定的接口返回 token ；
前端：请求头里面加 token，其他不变

[chinesedragon]

@whypool 后端不是还要验证 token ？

[chinesedragon]

@server 哥哥，那应该用什么啊？

[suikator]

jwt 简单易用 文档遍地

[kanezeng]

@chinesedragon 用 Token，只是不要用 JWT 吧。
JWT 的好处是不需要后端再存储 Token，收到 Token 之后验证 token 有效，就能获得用户信息，比如 id 之类的。
问题在于后端没法强行让 token 失效，比如用户修改了密码，用户要求在所有设备都退出登录之类的。。。
我个人比较喜欢开一个 redis 存储 token，用户登录成功后，后端生成一个 token （指定位数的随机字符串）返回给前端，同时存储在 redis 里（包含对应的用户 id 之类的）。前端后续所有请求都带上这个 token，后端收到 token 后到 redis 里去取用户信息。

[hcymk2]

如果项目是 all in one 的设计的话，狭义前后端分离其所没有什么意义，反而会让简单项目变的复杂。

[chinesedragon]

@kanezeng 前端存储 token 是不是放在 cookie 里啊？

[chinesedragon]

@hcymk2 为什么呢，原因呢？

[chinesedragon]

@kanezeng 还有 token 一般都放在 header 的哪个里呢？

[server]

@chinesedragon 归根到底还是 session 的路子，自己造这个轮子。单点登录，多终端登录

[haonan3344]

@server 已经上了 jwt 的船了，也不下去了。。。

[biabia123456]

@kanezeng 我是通过再把 token 存在 redis 实现 token 失效验证的 感觉没什么大问题

[kanezeng]

@chinesedragon 前端通常可以存在 localStorage。提交的时候就看和后端的约定了，常见的比如放在 header 里的 Authorization 字段，也有比如 POST 请求的 BODY 里提交的。

[kanezeng]

@biabia123456 这个倒是个不错的方法，不过这样的话 JWT 原有的优势就没有了吧