Symfony 3 根据远程 API 对用户进行身份验证

我有一个应用程序，其中后端和前端由不同的主机提供服务，并且是两个不同的应用程序（均基于 Symfony 3）。

其中之一（后端ofc）处理业务逻辑并将用户及其角色保存在其数据库中。后端提供REST API供前端使用。我无法修改后端代码，因为它不是我的项目 - 我只想为其创建一个前端。

目前，我正在尝试在 Symfony 3 中创建前端应用程序，但我不确定如何使前端应用程序针对远程 API 进行身份验证，并且不保留用户数据（或尽可能少）。

通过 REST API 将凭据传递到后端后，令牌将发送到前端应用程序并遵循 API 请求（例如，前端应用程序将向用户呈现的数据将与成功身份验证后收到的令牌一起发送）。

我的问题又来了：如何针对来自 Symfony 3 的远程自定义（非 OAuth）API 进行身份验证？

另外：后续如何正确处理token？（在身份验证成功后发出每个请求时必须使用它）。实现这一目标的最简单方法是什么？

我一直在努力寻找合适的信息（也许是教程？）我是 Symfony 的菜鸟:(

大多数文章描述提供一个允许客户端连接到它的 API，而不是在 Symfony 中制作客户端应用程序。

我发现了什么：通过第 3 方 REST API 进行 Symfony2 身份验证 https://stackoverflow.com/questions/14928514/symfony2-authentication-via-3rd-party-rest-api- 最相关，尽管它描述了 Symfony 2 的流程，并且接受的答案只是简单地描述了应该做什么

https://blog.vandenbrand.org/2012/06/19/symfony2-authentication-provider-authenticate-against-webservice/ https://blog.vandenbrand.org/2012/06/19/symfony2-authentication-provider-authenticate-against-webservice/- 关于 Symfony 2

http://symfony.com/doc/current/security/custom_authentication_provider.html http://symfony.com/doc/current/security/custom_authentication_provider.html- 可能是最热门的话题，但是，我不明白应用程序将在哪里保留其用户（在此示例中是否需要编写自定义用户提供程序？）

您已经找到了问题的答案。那是自定义身份验证提供商 http://symfony.com/doc/current/security/custom_authentication_provider.html。您可以将令牌保留在前端应用程序存储中，然后对它们进行身份验证。登录时，您应该通过请求后端应用程序创建令牌，将其保存在令牌存储中，仅此而已。然后您只需要对令牌进行身份验证（只需查看身份验证提供程序的示例）。

关于将用户数据保存在前端应用程序中，这取决于您。您不必保留任何数据，因此如果您想显示一些详细信息（即用户名等），您也必须存储该详细信息（或在每个请求中检索它 - 但这会影响性能）。至少你可以使用缓存来实现这一点。

所以可能的做法是：

1. 登录时（使用登录表单或其他地方），只需在登录处理程序中对用户进行身份验证（按照描述创建您自己的身份验证提供程序there https://blog.vandenbrand.org/2012/06/19/symfony2-authentication-provider-authenticate-against-webservice/- 不用担心 Symfony 2，安全组件几乎相同 - 有一些不兼容，但方向是正确的）。身份验证成功后，将令牌存储在前端存储中（您也可以存储一些您需要的用户详细信息，例如姓名等）。
2. 对于每个请求，使用前端应用程序存储中保存的令牌（这是另一个身份验证提供程序）对用户进行身份验证 - 您不需要将请求发送到后端应用程序。