如何用安全的REST API开发一个安全的Node.js WebApp？

为Web用户创buildExpress/Passport WebApp并在一个项目中使用jsonwebtoken授权保护REST API是否是一个好习惯？

我现在有一个WebApp， local-passportlogin和一些HTML视图的受保护的端点。 我可以使用jsonwebtoken保护添加passport-local未受保护的REST端点，但使用两个不同的身份validation选项似乎是一种不好的做法。

这是我的第一个Node.js项目，所以我不知道。 没有更好的方法来创build我想创build的东西吗？