无状态会话

在继续之前，必须明确一点：API 不处理有状态的会话。

API 应该是无状态的，这意味着它在收到请求后返回响应，之后不再需要维持任何上下文。系统运行时不需要依赖之前的或后续的状态。

通过 API 对用户进行身份验证的流程通常包括以下步骤：

1. 客户端使用相应的凭据（通常是 email 和 password）请求 sessions 资源。
2. 服务器返回 user 资源以及对应的 authentication token。
3. 客户端在访问每一个需要认证的页面时，都必须携带该 authentication token。

当然，这并不是唯一的三步验证方式。仅在第 2 步中，我们就可以选择返回完整的用户信息，或仅返回 authentication token。具体选择取决于个人偏好，但在本课程中，我们将返回完整的用户信息，这样可以在客户端立即进行映射，避免额外的请求。