Autenticazione tramite token

Il tuo flusso di lavoro è corretto (supponendo che tu stia utilizzando HTTPS) e sì, puoi semplicemente archiviare il token in un cookie invece di passarlo nell'intestazione dell'autorizzazione.

Non consiglio l'uso di OAuth2. Implementare correttamente anche il flusso più semplice aggiungerebbe un po 'di complessità alla tua procedura di accesso, e mi sembra che tu non ne abbia bisogno dato che tutte le parti del "lato server" vivono tutte nello stesso dominio.

Se fossi in me, userei i cookie. L'adesione a schemi ben definiti lascia meno confusione e significa che il browser si occupa dell'invio e dell'aggiornamento dei cookie (ad esempio, considera come gestire le sessioni con un timeout di inattività)

Una buona lettura. Si tratta di salvare token su memoria locale e poi inviarli via javascript nella richiesta http.

: link

Tutti i browser ora supportano Auth Digest, che è sicuro anche su HTTP. A seconda dei tuoi esatti requisiti, questo potrebbe essere sufficiente.