背景

我们有一个现有的传统Web应用程序（Wicket/Java/Spring/Tomcat），我们正在逐步迁移到Vue.js应用程序/SPA。因此，当用户导航到应用程序的某些部分时，我们会提供SPA，用户会与SPA交互，直到他们再次导航到应用程序的旧部分。
所有用户身份验证目前都由传统的webapp处理，这会导致一个tomcat会话（JSESSIONID cookie）。
SPA目前与主java monolith应用程序上的API进行通信，这与服务于传统webapp的应用程序相同，因此目前我们通过检查SPA请求中是否存在JSESSIONID cookie/tomcat http会话来处理身份验证。

┌──────────────┐
       │  Browser     │
       │              │          ┌────────────┐
       │  ┌──────┐    │          │  Monolith  │
 ──────┼─►│ HTML │◄───┼─────────►│    java    ├──────────────┐
       │  └──────┘    │          └────────────┘              ▼
       │              │             ▲             ┌──────────────────────┐
       │ ┌─────────┐  │             │             │ OAuth2 Authorization │
       │ │   SPA   │◄─┼─────────────┘             │       Server         │
       │ │ (VueJs) │  │                           └──────────────────────┘
       │ └────┬────┘  │                                      ▲
       │      │       │                                      │
       └──────┼───────┘               ┌──────────────┐       │
              │                       │ Microservice │       │
              └──────────────────────►│     java     ├───────┘
                                      └──────────────┘

要求

我们正在构建新的微服务（使用API），我们希望SPA能够与之对话，因此我们共享JSESSIONID cookie的方法将无法工作。
我们希望使用OAuth2来保护我们的新微服务，这意味着它们将需要有效的访问令牌来处理所有传入请求。

问题

我们找到的所有文档和示例都与实现标准解决方案有关，通过这些解决方案，您可以选择要使用的OAuth2授权流（隐式或PKCE授权代码），并让SPA提示用户进行身份验证。
这对我们来说是行不通的，因为我们仍然处于这种混合的情况下，所有的用户身份验证都是由传统的webapp处理的。

• 在这种情况下，人们会使用哪些方法？
• 如何在加载SPA时为其提供足够的信息，以便对新的微服务API进行（预）身份验证调用？

我们很乐意考虑将传统的webapps登录流程转移到基于OAuth的流程，但仍然不清楚如何解决SPA的问题。