如何将oauth2令牌发送到客户端并存储它们？

Question

我有一个应用程序，我想用第三方API（如谷歌、Facebook等）登录。客户端前端只是一个JavaScript SPA，它将与我的服务器交互。服务器基本上只需要存储第三方ClientID和ClientSecret。

要登录，客户端将用户链接到MyAPI/login。然后，MyAPI将用户重定向到第三方登录页面以及ClientID。认证后，第三方将使用code查询参数将用户重定向回MyAPI/callback。MyAPI将此code与ClientID和ClientSecret一起发送回第三方API。第三方API最终将返回访问\u令牌和刷新\u令牌。

我的问题是如何将令牌发送回客户端应用程序？而且，一旦客户机拥有代币，我应该如何存储它们？

Answer 1

您所描述的是OAuth的授权代码授权流。在身份验证代码流中，向客户端（在本例中为MyAPI）提供一个代码，以便用户永远不会收到access\u令牌或refresh\u令牌，因此不必信任它们。

通过向用户提供这些令牌并允许他们将其存储在本地存储中，您正在规避身份验证代码流的安全优势。除非安全性对您来说不是一个大问题（您信任用户），否则绝对不建议这样做。

正如评论所建议的，您可以使用cookies来持久化与MyAPI的会话。不过，access\u令牌和refresh\u令牌应该保存在会话数据中，而不是直接与用户共享。这强制要求仅由MyAPI代表用户访问第三方API。

在这个问题的公认答案中提供了对身份验证代码流的更好解释：这两个工作流之间的区别是什么？何时使用授权代码流？

MyAPI的一个不完整的Express.js示例：

// imports
const express = require('express');
const session = require('express-session');
const passport = require('passport');
const jwt = require('jsonwebtoken');

// setup passport (an authentication middleware) and use it with the session provided by express-session
passport.serializeUser((user, done) => {
  done(null, user);
});
passport.deserializeUser((obj, done) => {
  done(null, obj);
});
passport.use(new SomeStrategy(...strategyOptions));
const app = express();
app.use(passport.initialize());
app.use(passport.session());

// route handlers
app.get('/login', passport.authenticate('SOME_STRATEGY'), () => {});
app.get('/callback', passport.authenticate('SOME_STRATEGY'), { failureRedirect: '/badlogin' }, (req, res) => res.send(200));
app.get('/resource', (req, res) => {
  const accessToken = req.user.access_token; // req.user has the session information including the access token
  try {
    // verify the access token with the 3rd party auth's public key (NOT THE SAME AS DECODING IT!) 
    const decodedAccessToken = jwt.verify(accessToken, thirdPartAuthPublicKey);
    return res.send(200).send(decodedAccessToken);
  } catch (err) {
    return res.send(401).send('unauthenticated');
  }
});

这里，服务器将access_token保存在用户的会话数据中（req.user）。当用户对资源发出请求时，服务器尝试验证access_token并返回其解码内容。