多端身份验证的一个方案

Question

怎么进行多端身份验证？

一个后台，同时有web后台，app，小程序，怎么进行身份验证？

描述：情况跨域、多端，sessionid无法放在cookie中，那我把sessionid的值当成每次请求时要传递的参数，每次请求拦截验证岂不美哉？用户不多时，就存在session中，用户多了就维护在redis中。

我这想法怎么样？求大神给出自己的理解

Answer 1

思路可以。

其实这就已经不是 SessionID 了，只是个能区分用户的唯一标识而已。这种 HTTP 授权鉴权的的方案有很多，在 OAuth 里是 OpenID+AccessToken；在 JWT 里是 ID Token；在 SAML 里是 SAML Assertion。

另外建议不要存在参数里，而是放到请求头 Authorization 中。

Answer 2

使用token，在请求的连接url或cookie，或http的header中使用toekn实现夸端请求，就和sessionid一样了，jjwt或者spring security的oauth认证