通过SPA上的API调用传递Azure令牌(JWT)

Question

我有一个SPA，它调用PHP后端(目前基于Symfony进行概念验证(。

此应用程序的身份验证基于Azure Active Directory，所有Azure用户的电子邮件地址和OID都与本地应用程序用户表相匹配-如果未在本地注册，则会为他们创建具有基本权限的本地帐户。

对于身份验证，调用后端，然后重定向到Azure进行身份验证，然后返回访问令牌。我是否可以让SPA在API调用中传递Azure访问令牌，并在后端对其进行验证，让SPA根据需要刷新令牌，而不是在后端重新引入我自己的身份验证令牌系统？

干杯

Answer 1

是-在这个部分SPA模型中，您通常需要在仅http的安全cookie中存储刷新令牌。当web UI调用API并获得401过期响应时，它将需要调用后端来刷新令牌。