Как лучше переадресовывать юзера при аутентификации?

Question

[Максим]

Делаю первое веб-приложение, и пишу все сам без фреймворка. Не понимаю, как сейчас считается лучшей практикой делать переадресацию на другую страницу при логине/логауте.
Лучше в страницу встраивать скрипт который после загрузки страницы будет сразу делать запрос на сервер чтобы проверить залогинен пользователь или нет, а после на клиенте делать переадресацию, или на сервере уже при запросе с клиента делать проверку и потом в заголовке ответа делать переадресацию с кодом 302 например?

Comments

[Егор Бабинцев]

Зависит от того, как реализована авторизация. Через токен? Или с использованием сессией на php, например?

Но исходя из вопроса могу предположить, что используется REST API, которое скорее всего возвращает токен. В этом случае порядок действий примерно такой:

• Проверяем, лежит ли токен в localstorage. Если да, то подставляем его в аутентификационные заголовки и все, если нет, то передресовываем на страницу авторизации.
  
• На странице авторизации мы принимаем логин и пароль, отправляем запрос на аутентификацию. Полученный токен записываем в localstorage и аутентификационные заголовки и выполняем все запросы с ним.
  

[Максим]

Егор Бабинцев, у меня rest api и токен я сохраняю в http only cookie. Я просто хотел именно понять кто должен инициировать редирект. Это можно сделать как на клиенте после ответа сервера, так и на сервере при запросе клиента, делая редирект через заголовок в ответе и кодом 301-302. Может в одном из способов какие то подводные камни могут быть о которых я пока не догадываюсь.

Answer 1

[Максим Федоров]

Каждый запрос просто делайте с заголвоком Bearer: b43hb54b64bv46v46v464bmkkm
Сервер прочитает, если нет токена, то 401 и отправить на страницу входа
На входе получаете токен и сохраняете локально в localStorage, потом на каждом запросе к бекенду добавляете этот токен

Такая типовая практика

пишу все сам без фреймворка

А это зря, уже все есть в фреймворках для удобной работы... например в Ангуляре просто в интерцепторе http запросов ловите каждый запрос и добавляете токен, если есть сохраненный в сторадже, могу предположить, что в др фреймворках также все есть