拉勒维尔圣所只生成访问令牌吗？

Question

我试图理解SPA（vuejs）应用程序中laravel santum的基本流程。到目前为止，我所理解的是：

#它创建了一个用于API身份验证的中间件

#当用户尝试登录时，它会生成access_tokens并返回到前端。前端然后使用它的前端存储记住这个令牌号，如local存储（），会话存储（）等。

#当用户尝试＜code＞注销＜/code＞时，我们只需＜code＞从＜code＞前端存储

如果我错过了什么或犯了错误，请纠正我。

Answer 1

Sanctum不仅使用令牌进行身份验证，还进行常规会话身份验证。身份验证方法是根据请求自动确定的，如果请求来自同一个域，则使用cookie/会话进行身份验证，如果请求来自不同的域或找不到会话cookie，则尝试令牌身份验证。

通常，对于位于您同一域上的SPA应用程序，无需使用令牌。Sancta将简单地使用使用cookie的标准身份验证。

https://laravel . com/docs/9 . x/sanctum # how-it-works-spa-认证

对于此功能，Sanctum不使用任何类型的令牌。相反，Sanctum使用Laravel内置的基于cookie的会话认证服务。

如果您的前端在不同的域或移动设备上，sanctum将检查请求头中的令牌。

要使用令牌身份验证，您需要手动颁发令牌，如下所述：https://laravel.com/docs/9.x/sanctum#issuing-mobile-api-tokens

通常，您将从移动应用程序的“登录”屏幕向令牌endpoint发出请求。endpoint将返回纯文本API令牌，然后将其存储在移动设备上，并用于发出其他API请求

return $user->createToken($request->device_name)->plainTextToken

登录后，您将令牌存储在本地存储或本地会话中，您需要将此令牌包含在移动或第三方前端的授权头中。

当移动应用程序使用该令牌向应用程序发出 API 请求时，它应将授权标头中的令牌作为持有者令牌传递。

基本上，如果您的SPA位于同一域中，则无需关心令牌。您只能继续使用 cookie 和会话。

如果您的前端是移动的或在不同的域上，则首选的方法是使用令牌，您需要手动调用登录API并将令牌响应存储在localStorage或本地会话上。

请注意，如果您不愿意，您实际上甚至不需要为第三方应用程序使用令牌。您也可以使用cookie和会话，但是这可能会导致扩展问题，因为Laravel向每个人、访客或经过身份验证的人提供会话cookie，因此您的后端会话（如redis）对于第三方应用程序/API将增长非常快。然而，对于令牌，它只在登录时生成它们，因此规模要小得多。