token(JWT)安全认证的疑问

Question

最近想实现利用Json Web Token实现安全认证,遇到些问题,寻求写帮助!
项目使用的是springboot-thymeleaf,此项目的功能就是给某App提供一些支付相关的H5页面.
一是把token存在cookie中,这个可以实现,但是总感觉别扭不想用
二是把token存在H5的localStorage中,每次请求将token放在请求头中的某个属性中
所以想问的就是ajax请求头还可以设置,一些不是ajax而是需要打开新页面的请求该怎么设置?
也希望各位如果有好的安全认证的方案能不吝赐教,多谢!

Answer 1

使用query parameters。
像sessionid也是支持url传递jsessionid。

示例

GET https://www.googleapis.com/plus/v1/people/userId?access_token=ACCESS_TOKEN GO
GET https://api.weixin.qq.com/cgi-bin/groups/create?access_token=ACCESS_TOKEN GO

就不列举更多了，基本处理方式都是差不多的，题主可以多观察一下开源的api。

Answer 2

JWT是现在比较流行的认证方案。Spring Security也提供了很好的安全解决方案。没有必须换。只是要用得深入一点。JWT还是有点坑要踩的。
建议不要使用spring thymeleaf。前后台API分离，项目大了之后。比如前台使用React,Angular等。