如何在服务器身份验证后为前端提供JSON web令牌？

Question

到目前为止，我只处理了服务器呈现的应用程序，在用户通过用户名/密码或使用OAuth提供商（Facebook等）登录后，服务器只是设置一个会话cookie，同时重定向到相关页面。

然而，现在我正在尝试使用更“现代”的方法构建一个应用程序，前端是React，后端是JSON API。显然，这方面的标准选择是使用JSON web令牌进行身份验证，但我很难弄清楚我应该如何将JWT提供给客户机，以便将其存储在会话/本地存储或任何地方。

举例说明：

>

用户单击链接(/auth/Facebook)通过Facebook登录

用户被重定向并显示Facebook登录表单和/或权限对话框（如有必要）

Facebook将用户重定向回/auth/Facebook/callback，并带有授权代码，服务器将其交换为访问令牌和有关用户的一些信息

服务器使用该信息在DB中查找或创建用户，然后创建包含用户数据（例如ID）的相关子集的JWT

？？？？

在这一点上，我只想将用户重定向到React应用程序的主页面（比如/app)，并将JWT拖在一起，这样前端就可以接管。但我想不出一种（优雅的）方法来做到这一点，同时又不丢失JWT，除了将其放在重定向的查询字符串中(/app？authToken=...)--但这将显示在地址栏中，直到我使用replaceState()或其他方法手动删除它，这在我看来有点奇怪。

真的，我只是想知道这通常是怎么做的，我几乎可以肯定我遗漏了一些东西。服务器是节点（带有Passport的Koa）（如果有帮助的话）。

编辑：为了清楚起见，我在问在使用Passport的OAuth重定向流之后，向客户端提供令牌（以便保存）的最佳方法是什么。