Как правильно сделать закрытый API на Laravel?

Question

[Alexander Osipov]

Всем привет. Сейчас делаю полный бэк на Laravel 5.5, изучаю доки passport, но крайне важен совет уже опытного человека в данном вопросе.
Passport, как я понял, предоставляет возможность разработки открытого API, в доках об этом очень много написано. Но как быть, если мне нужен API, который должен быть закрыт "извне"? Т.е. он будет использоваться на сайте (SPA, Vue.js) и в мобильном приложении. Что именно мне нужно смотреть, какая должна быть последовательность запросов?

Как я понял, мне нужно вот это: https://laravel.com/docs/5.5/passport#consuming-yo...
Но непонятно, почему мы добавляем мидлвэр CreateFreshApiToken к группе web? И как это меняет поведение API, что делать далее?

Comments

[Artem0071]

csrf? (но это правда только для web подойдет)

[Sergej]

Я больше сторонник стандарта JWT.
Токен, как ключ, в котором вся нужная инфа.
Собственно как любой API в сети.

[Alexander Osipov]

Artem0071, как связаны csrf и API, когда фронт и бэк хранятся на разных серверах? API изначально подразумевает межсайтовые запросы же

Answer 1

[Ernest Faizullin]

Надо во всех API контроллерах добавить middleware

https://laravel.com/docs/5.5/middleware

https://laracasts.com/discuss/channels/laravel/whe...