技术问询：什么是Headless Authentication（通用术语定义）？

什么是Headless Authentication？ #

直白点说，**Headless Authentication（无头身份验证）**就是完全脱离传统可视化前端界面（比如浏览器里的登录表单、跳转页面）的身份验证机制——它把身份验证的核心逻辑和用户交互层彻底拆分，只通过标准化的API接口来完成身份校验、令牌发放/刷新、权限验证等所有操作。

之所以叫“无头”，是因为这里的“head”指代的是传统认证流程里的前端交互界面（比如登录页这个“头”），去掉这个“头”之后，就只剩下纯后端的认证服务，任何能发起API请求的客户端都能对接它。

核心特点 #

• 纯API驱动：所有认证环节（提交凭证、获取令牌、验证令牌、刷新会话）都通过REST、gRPC这类API完成，没有页面跳转、Cookie依赖这类传统Web认证的特性
• 协议标准化：通常基于OAuth2.0、OpenID Connect、JWT这类成熟的认证协议，保证安全性和兼容性
• 多客户端适配：不管是移动端APP、小程序、IoT智能设备、后台脚本，还是第三方服务，只要能发送HTTP/HTTPS请求，就能对接这个认证系统
• 无状态设计：服务端不需要存储用户会话信息，仅通过验证令牌的签名和有效期来确认身份，非常适合微服务、Serverless这类分布式架构

实际场景示例 #

比如你用外卖APP登录：

1. 你在APP里输入手机号和验证码，APP调用POST /api/v1/auth/login接口把凭证传给后端
2. 后端验证通过后，返回一个JWT令牌给APP
3. 之后APP每次请求下单、查看订单的接口时，都会在请求头里带上这个令牌
4. 后端收到请求后，先验证令牌的合法性，确认是合法用户后再处理业务逻辑

整个过程没有网页登录界面，完全通过API完成身份验证，这就是典型的Headless Authentication应用。

内容的提问来源于 repeatedSEARCH衍生较相�
Locals试派就�表给用户粉丝·塞德里奇（Fanish Sederci）在Stack Exchange上的提问。