我有一个调用 PHP 后端的 SPA(目前基于 Symfony 用于概念验证)。
此应用程序的身份验证基于 Azure Active Directory，所有 azure 用户都会根据其电子邮件地址和 OID 与本地应用程序用户表进行匹配 - 如果未在本地注册，则会为他们创建一个具有基本权限的本地帐户。
对于身份验证，调用后端，然后重定向到 Azure 进行身份验证，然后返回访问 token 。我是否可以让 SPA 在 API 调用中传递 Azure 访问 token 并在后端验证它，让 SPA 在需要时处理刷新 token ，而不是在后端重新发明自己的身份验证 token 系统？
干杯
最佳答案
是的 - 在此部分 SPA 模型中，您通常需要将刷新 token 存储在仅 http 的安全 cookie 中。当 Web UI 调用 API 并收到 401 过期响应时，它将需要调用后端来刷新 token 。
关于azure - 通过 SPA 上的 API 调用传递 Azure token (JWT)，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/58634662/