不要直接給文件的地址，先Ajax觸發(fā)下載事件，后臺鑒權(quán)，然后返回一個包含時間限制的URL地址（參考七牛云下載私有空間的文件生成的鏈接），然后再用JS模擬打開新窗口去下載。
也就是說：這個文件下載地址是用戶請求下載的時候，鑒權(quán)成功后再生成的，有時間限制（比如1小時）。

可以在Http請求Header中帶上驗證標識。

我猜你想說的是如何通過xhr下載資源。用blob對象返回，然后創(chuàng)建一個下載鏈接。
和這問題類似 https://segmentfault.com/q/10...

請求"后臺返回excel地址的"接口時附帶用戶標識 不就可以了嗎？

身份驗證直接后端就能做，不需要你做什么吧？除非跨服務(wù)器，可能需要傳個 key 什么的，商量一下接口就行了。