Как сделать аутентификацию в современном веб-приложении?
Как и везде:/api/auth принимает {"login":"user", "password":"qwerty"} возвращает {"session_id":"UUID:4545633896344"}Все остальные API принимают параметр session_id, без него отвечают 401, с неверным session_id отвечают 403.Сессии не вечные, через N минут после последнего api-вызова стираются.Если клиент внезапно получает 403, то не кричит об этом юзеру сразу, а пытается перелогиниться хотя бы один раз.
Есть хорошая статья на хабре