项目中使用了 nodejs 和 java ,如何做统一的认证和授权?

为了"用",另外也是的确比较便捷,所以在项目中使用了 nodejs 做了一些数据处理的工作,比如解析 WebService,将 XML 格式的数据转换为 JSON 提供给前端直接调用. 但是现在这些 nodejs 开发的数据接口的访问没有任何限制.

系统其它数据接口都是 java 开发的, java 开发人员做了认证和授权.

除了认证和授权,好像还有 session 的问题.

希望有路过的朋友给点建议,谢谢了.

自己想了了个笨办法:

在前端获取 java 那边的 sessionid, 然后将这个 sessionid 添加到每个发往 nodejs 的请求 header 中, 做一个 middleware, 接受这个 header 标记, 发个 http 请求到 java 后台验证这个 sessionid 是否有效 ...... 这里有个异步的问题, 可以在 http 请求的 callback 中 next() 吗? 感觉不行啊, 那堵塞方式 http , 感觉好傻......