如果基于 cookie 的身份验证与 REST API 一起使用，那么相同的 API 如何与移动应用程序一起使用？

Posted 2023-02-19

【中文标题】如果基于 cookie 的身份验证与 REST API 一起使用，那么相同的 API 如何与移动应用程序一起使用？

【英文标题】：If cookie-based authentication is used with REST API, how can the same API be used with mobile apps?

【发布时间】：2020-12-06 20:58:19

【问题描述】：

我正在使用 Node.js 开发一个带有 REST API 的 SPA Web 应用程序。我在许多资料中读到 JWT 不应该存储在浏览器的 localStorage 中；但应该使用设置了 httpOnly 标志的 cookie 来设置。我还读到移动应用程序和 SPA 应该使用基于令牌的身份验证。

如果我应该使用基于令牌的身份验证，我应该将令牌存储在客户端的什么位置？

虽然可以在 Web 客户端中设置 cookie，但在开发移动客户端时如何使用相同的 REST 端点？我不确定移动应用程序是否使用 cookie 的概念。

我们将不胜感激。

【问题讨论】：

这正是我想问的问题！奇怪的是没有人回答。

【参考方案1】：

我认为您的应用程序应该首先检查令牌的 cookie，如果不存在，则检查请求授权标头。