node.js - 自己的移动客户端的 OAuth 2.0 身份验证

Question

我正在使用 node.js 开发一个应用程序，它也将有一个移动客户端。我希望使用 OAuth 2.0 进行身份验证。有什么好的模块可以让我拥有 OAuth 2.0 身份验证服务器吗？

我查看了 Passport“OAuth2orize”的一个附属模块。我发现它已经足够好了，但真正的问题是了解它如何适用于我自己的应用程序(示例和文档详细说明了第三方授权)。

基本上我想要的是客户端使用客户端 ID、用户的用户名、用户的密码登录，然后我在验证上述 3 件事后交给他一个 token 。但是 Oauth2orize 的问题是存在重定向 URI，所有这些让我很困惑。

请帮助我了解如何使用 Oauth2rize 或任何其他非常好的模块实现此目的。或者，如果它足够简单，我也可以推出自己的产品，但这对安全性来说是个好主意吗？？

Answer 1

您正在寻找的是 Resource Owner Password Credentials流。如您所见，oauth2 的示例不包含支持此流程的功能。事实上，示例仅涵盖 Authorization Code流。

它最终应该相当容易实现。您需要做的就是接受一个包含您要查找的信息的请求(并对其进行授权)，并在您的 token 数据库中创建一个 token 并将其返回。只要您使用与 oauth2orize 的其余部分使用的相同的 token 数据库，它就应该可以正常工作。请参阅:Passing Trusted Client Information with oAuth2orize for the "Resource Owner Password Flow"这正是建议的地方。

更正:oauth2orize 的全授权示例支持隐式流程以及授权码流程。