Question

简记

App1应该对AuthApp的查询进行身份验证：安全简单地执行此操作的最佳方式是什么？

详细

我们正在将集成应用程序的一部分移动到一组专用的应用程序中，分开的应用程序，每个都集中在一个主要区域，以允许我们的主要应用程序之间共享的服务。

此计划的一个特别重要的部分是用户身份验证和联系方式应通过中央“AuthApp”进行管理。

当用户登录时，现有应用程序将充当AuthApp的代理，例如。现有应用程序（例如App1）将询问AuthApp是否用户（例如User1）提供了正确的登录信息。

目前，App1和AuthApp共享同一个局域网并进行通信 HTTPS。这些因素可能会在未来发生变化，无论如何我们都会感兴趣要知道人们认为App1应该对其进行身份验证的最佳方式查询AuthApp，假设App1至少在AuthApp中注册一个UUID。

哪个更好？

A.1 App1    : /token/<app1token>/user/<userid>/checkok
A.2 Authapp : response : whatever

或者这个：

B.1 App1    : /login/token (POST : passphrase)
B.2 AuthApp : response : session uuid
B.3 App1    : /token/<session_uuid>/user/<userid>/checkok

由于我们要在应用和AuthApp之间进行大量活动，我们热衷于保持简单，我很想知道任何想法如何最好地做到这一点。

我认为理想是一种沿着Kerberos可再生的机制门票 - 虽然我们渴望避免开销和复杂性 Kerberos的。