在 ASP NET Core 后端和 React.js 前端之间处理多种授权方案的最佳方法

如何解决在 ASP NET Core 后端和 React.js 前端之间处理多种授权方案的最佳方法

我们正处于项目的初始阶段，我们正在尝试确定后端服务和将在 React.js 中开发的前端应用程序之间的最佳授权方案

这里的主要内容是我们基本上将有两种类型的功能：允许匿名用户和仅允许经过身份验证的用户。我们的目标是推迟注册过程，直到客户决定他真的需要这样做。在此之前，他将能够浏览网站上的所有其他内容。

另一个重要的方面是我们想让我们的服务只能通过我们开发的 React.js 应用程序访问。

为此，我们一直在考虑 HMAC Authentication for the Web Api service。因此，默认情况下，我们可以在后端和特定的前端/客户端应用程序之间建立信任。但是，我有两个问题：

1. 如何在客户端上存储敏感密钥信息？
2. 当用户决定注册时，这不是一个不同的授权流程 (oAuth)，所以它不会与 HMAC 混淆吗？

总的来说，我在这里寻找建议。我希望我能很好地解释这个场景。