只需对每个请求使用访问令牌。不需要使用会话。以下是工作流程：

POST /signin

1. 用户名和密码发布在客户端请求中。
2. 服务器通过使用护照的本地策略对用户进行身份验证。请参阅本地护照。
3. 如果凭据表示有效用户，则服务器返回由某些生成器生成的访问令牌。node-jwt-simple是一个不错的选择。
4. 如果凭据无效，请重定向到/signin。

当客户端从授权服务器接收访问令牌时，客户端可以向服务器上的受保护资源发出请求。例如：

GET /api/v1/somefunction?token='abcedf'

1. 客户端使用token参数调用某些服务器api。
2. 服务器使用护照的承载策略对令牌进行身份验证。请参阅passport-http-bearer。