关于Laravel Passport API安全机制运作原理的咨询

这是当下API场景里非常流行的无状态身份认证方案，我给你拆解下它的运作流程和核心优势：

核心运作流程 #

• 客户端发起认证：向服务器提交用户名和密码，请求完成身份校验
• 服务器生成凭证：校验用户身份合法后，生成并返回一个access token给客户端
• 受保护资源访问：后续客户端访问需要权限的API或资源时，只需在请求中携带这个access token，无需再重复发送用户名和密码

核心优势 #

• 杜绝敏感信息反复传输：后续所有API调用都不会传递用户名、密码这类核心敏感信息，从根源上降低了敏感信息被截获的风险
• 控制凭证泄露的危害范围：access token通常被设置为较短的有效期，就算不幸被黑客窃取，可利用的窗口时间非常有限，能有效减少未授权访问带来的损失

内容的提问来源于stack exchange，提问作者ProgLover