怎么在前后分离的情况下，做权限认证？

问题来了，如果做前后分离的话，页面是静态的，假如我用 Nginx 部署静态页面，那么在 URL 里键入静态页面文件名就能访问对应的页面。而我在后端用 Spring Security/Shiro 可以基于 JWT 来实现权限区分，带 Token 和不带 Token 两种情况。但是怎么和前端进行配合来进行权限跳转？

一些思考的结果：

1、Nginx 可以通过重写 URL 的方式来隐藏 .html 后缀。

2、可以通过登录页来提交登录申请，然后发送 JSON 给后端进行验证，验证成功可以通过 Javascript 进行跳转，不成功就跳转到登录页，所以现在问题变成了怎么拦截未验证的请求？ Nginx 有类似于拦截器这样的东西吗？

权限

Nginx

页面

静态

11 条回复 2017-07-10 07:46:42 +08:00

2017-07-09 17:32:32 +08:00

这问题跟 nginx / url rewrite 无关…

jingniao

2017-07-09 17:34:54 +08:00 via Android

交给前端啊，碰到后端请求非法 403 401 之类就跳啊

ryd994

2017-07-09 18:47:21 +08:00 via Android

办法有很多
1. secure_link 限制所有请求带 token
2. 请求打到后端，后端不 server 静态文件，而用 X-accel-redirect
3. auth_request

WispZhan

2017-07-09 19:16:43 +08:00

都前后端分离了，你后端还管理路由？

后端就只用给接口和数据就行了。页面路由前端自己完成。

zzc1995217

2017-07-09 19:24:06 +08:00

@oh 已经解决了。

@jingniao 我想自己做。

@ryd994 能有一点具体的例子吗？

@WispZhan 嗯，我卡在了前端这一块，想着是 nginx 的问题。

guokeke

2017-07-09 19:43:51 +08:00 via Android

简单说就是，如果一个请求返回无权限，那么用 js 脚本直接跳对应的提示页面。

Ouyangan

2017-07-09 20:00:27 +08:00

后端全部都是 json 了, 不应该让后端 /nginx 来做 , 前端自己根据接收的状态码做相应的跳转 /提示.

porrat

2017-07-09 20:04:38 +08:00 via iPhone

oauth2

ryd994

2017-07-09 20:21:21 +08:00 via Android

@zzc1995217
secure_link 等于是 token 验证。token 就是签名，过时间会失效。具体怎么在后端嵌入，这要自己实现
X-accel-redirect 用法请自行 Google，一般就是个设置 header 的事
auth_request 这个也请自行 Google。简单来说，就是 Nginx 会往后端转发请求。只有后端 200 时才会返回静态文件的内容，否则认为没有权限，给 403。403 你也可以捕捉下来，跳去登录页。

mingyun

2017-07-09 23:23:34 +08:00

jwt.io

wangxiaoer

2017-07-10 07:46:42 +08:00

这问题应该都有成熟的方案了吧，即使是静态页面，页面加载后（前）会向服务端发送一个请求检查当前用户身份，然后该继续继续，该跳转跳转，哪有这么复杂。