ユーザー名/パスワードのないカスタム認証

Question

最終的に別のWebアプリケーション内に配置されるWebアプリケーション（バックエンド：JAVA /ステートレスREST API）（フロントエンド：角度）を開発しています。 セッションベースの親アプリケーションは、ユーザー名/パスワードによる認証を処理し、各ユーザーのトークンを作成します。ユーザーが親アプリケーションにログインすると、自分のアプリケーションにもアクセスできる必要があります。言い換えれば、アプリケーションからのSOAP呼び出しによってトークンを使用してユーザーデータを取得することもできます。

私の考えは、フロントエンドコンポーネントでこのトークンを取得し、それを自分のREST APIに送信することです。これらのトークンを並行ハッシュマップ内に保つつもりです。そして、FEからの各呼び出しに対して、BEのトークンを認可のためにチェックします。私はそれが正しいアプローチであるのだろうか？

Answer 1

親アプリのセッションが終了するか、ユーザーがログアウトすると、トークンは無効になりますか？

「はい」の場合、トークンが無効になったことをアプリはどのように知っていますか？ は、のトークンをチェックしていますか？ （すべての要求に対して実行する必要があります）

共有セッションがオプションでない場合、あなたのアプローチは妥当です。

また、セキュリティのために、REST呼び出しは常にHTTPSでなければなりません（そうでない場合は要求を拒否します）。トークンをURLではなくクエリパラメータとして渡すことを検討してください。