基于AngularJS+ExpressJS+NodeJS适配现有SSO的认证最佳实践问询

结合你提到的现有SSO架构（会话Cookie+数据库存会话ID做有效性校验），以及你正在用的AngularJS + Express/Node技术栈，我整理了几个经过项目实践的适配方案和最佳实践，帮你无缝对接现有基础设施：

• 自动复用浏览器会话Cookie：你的SSO系统已经在浏览器中设置了会话Cookie，AngularJS的$http服务默认会自动携带同源Cookie（如果Angular应用和SSO应用跨域，需要提前配置CORS允许携带凭证）。完全不需要手动存储或处理Cookie，让请求自动带上即可，这是对接现有架构最省心的方式。
• 实现路由级别的权限守卫：用AngularJS的路由resolve属性或者自定义拦截器保护需要认证的页面。比如给受保护路由加一个校验逻辑，调用后端接口确认会话有效性：

$routeProvider.when('/dashboard', {
  templateUrl: 'dashboard.html',
  controller: 'DashboardCtrl',
  resolve: {
    authCheck: function($http, $location) {
      return $http.get('/api/auth/validate')
        .catch(function() {
          // 会话无效时跳转到SSO登录页
          $location.path('/sso-login');
          return Promise.reject('未授权访问');
        });
    }
  }
});

• 全局拦截器处理认证失败场景：创建一个HTTP拦截器，捕获后端返回的401/403状态码，自动触发SSO登录流程，不用在每个请求里单独处理：

angular.module('myApp').factory('authInterceptor', function($q, $window) {
  return {
    responseError: function(rejection) {
      if (rejection.status === 401) {
        // 跳转到SSO登录页，带上当前页面作为跳转回址
        const redirectUrl = encodeURIComponent($window.location.href);
        $window.location.href = `/sso/login?redirect=${redirectUrl}`;
      }
      return $q.reject(rejection);
    }
  };
});

// 注册拦截器
angular.module('myApp').config(function($httpProvider) {
  $httpProvider.interceptors.push('authInterceptor');
});

• 不要在前端存储敏感信息：绝对不要把会话ID、用户敏感数据存在$rootScope、localStorage或者sessionStorage里，完全依赖后端的Cookie会话验证，这样既符合现有SSO架构，也能避免XSS攻击风险。

• 封装SSO会话验证中间件：写一个Express中间件，直接复用现有SSO的会话校验逻辑——要么调用SSO系统提供的验证接口，要么直接查询数据库检查Cookie中的会话ID是否有效、未过期：

const validateSession = async (req, res, next) => {
  const sessionId = req.cookies['sso_session_id']; // 替换成你的SSO Cookie名
  if (!sessionId) {
    return res.status(401).json({ message: '未检测到会话' });
  }

  try {
    // 调用SSO的会话验证服务或直接查数据库
    const validUser = await ssoDb.checkSessionValidity(sessionId);
    if (validUser) {
      req.user = validUser; // 将用户信息挂载到req，供后续路由使用
      next();
    } else {
      res.status(401).json({ message: '会话已过期或无效' });
    }
  } catch (err) {
    res.status(500).json({ message: '会话验证失败' });
  }
};

// 给需要认证的API路由挂载中间件
app.use('/api/protected', validateSession);

• 跨域场景下配置CORS：如果Angular应用和Express服务不同源，必须配置CORS允许携带凭证，否则浏览器不会自动发送SSO Cookie：

const cors = require('cors');
app.use(cors({
  origin: 'https://your-angular-app-domain.com', // 替换成你的Angular应用域名
  credentials: true // 允许携带Cookie
}));

• 提供统一的会话校验接口：给前端暴露一个/api/auth/validate接口，供路由守卫调用，返回当前会话的用户信息或401状态码，让前端不用直接和SSO系统交互，通过中间层做统一代理。

• 对齐SSO的会话生命周期：不要在前端或Express层单独设置会话过期时间，完全遵循现有SSO系统的过期策略——当SSO会话过期后，后端验证失败，前端拦截器自动触发登录流程即可。
• 确认Cookie的安全属性：确保SSO设置的会话Cookie开启了HttpOnly（防止XSS窃取）和Secure（仅在HTTPS下传输）属性，这是现有基础设施应该具备的，但一定要确认，避免安全漏洞。
• 复用SSO登录页面：不要在Angular应用里单独做用户名密码登录表单，直接跳转到SSO系统的登录页面，既符合现有架构，也减少重复开发，还能保证认证逻辑的一致性。
• 多场景测试验证：测试以下场景确保流程顺畅：用户从SSO登录后直接访问Angular应用、会话过期后访问受保护路由、跨域场景下Cookie是否正常携带、退出登录后会话是否失效等。

内容的提问来源于stack exchange，提问作者help