我使用REST处理NodeJS api。对于身份验证，我决定使用Passport。我想要真正的RESTful api。所以这意味着我必须使用令牌而不是会话。
我想让用户使用用户名和密码登录，或者使用Facebook，Google和Twitter等社交网络。
我使用OAuth2.0模块创建自己的Access服务器以发布Refresh tokens和oauth2orize。所以现在我可以注册新用户，然后发出令牌。
我遵循了这个教程：
http://aleksandrov.ws/2013/09/12/restful-api-with-nodejs-plus-mongodb/
验证用户的路线：
// api ------------------------------------------------------------------------------------
app.get('/api/userInfo',
passport.authenticate('bearer', { session: false }),
function(req, res) {
// req.authInfo is set using the `info` argument supplied by
// `BearerStrategy`. It is typically used to indicate scope of the token,
// and used in access control checks. For illustrative purposes, this
// example simply returns the scope in the response.
res.json({ user_id: req.user.userId, name: req.user.username, scope: req.authInfo.scope })
}
);
这一切都很有效。不幸的是，我不知道如何实施社会认证。
我正在阅读本教程：
http://scotch.io/tutorials/javascript/easy-node-authentication-facebook
但在本教程中，他们并没有制作真正的RESTful API。我已经根据本教程实现了用户模式，其中本地用户的标记存储在单独的模型中。
// define the schema for our user model
var userSchema = mongoose.Schema({
local: {
username: {
type: String,
unique: true,
required: true
},
hashedPassword: {
type: String,
required: true
},
created: {
type: Date,
default: Date.now
}
},
facebook: {
id: String,
token: String,
email: String,
name: String
},
twitter: {
id: String,
token: String,
displayName: String,
username: String
},
google: {
id: String,
token: String,
email: String,
name: String
}
});
但是现在，我该如何验证用户？
passport.authenticate('bearer', { session: false }),
这只是验证我的数据库的持有者令牌，但我如何验证社交令牌？我错过了什么吗？
答案 0 :(得分：6)
我正在使用Facebook登录我自己的my Notepads app here RESTful API。我启动了一个将用作网页的应用程序，但登录后的通信仍然是通过API。
然后我决定创建一个将使用API的mobile version of the same app。我决定这样做：移动应用程序通过Facebook登录并将facebook用户ID和FB访问令牌发送到API，API调用Facebook的API以验证这些参数并且如果成功注册新用户（或者在我的应用程序的数据库中登录现有帐户，为该用户创建自定义令牌并将其返回到移动应用程序。从这里移动应用程序发送此自定义令牌以使用API验证应用程序。
这里有一些代码：
API中的auth（使用fbgraph npm模块）：
var graph = require('fbgraph'),
Promise = require('bluebird')
...
Promise.promisify(graph.get);
...
var postAuthHandler = function (req, res) {
var fbUserId = req.body.fbId,
fbAccessToken = req.body.fbAccessToken,
accessToken = req.body.accessToken;
...
graph.setAppSecret(config.facebook.app.secret);
graph.setAccessToken(fbAccessToken);
var graphUser;
var p = graph.getAsync('me?fields=id,name,picture')
.then(function (fbGraphUser) {
//when the given fb id and token mismatch:
if (!fbGraphUser || fbGraphUser.id !== fbUserId) {
console.error("Invalid user from fbAccessToken!");
res.status(HttpStatus.FORBIDDEN).json({});
return p.cancel();
}
graphUser = fbGraphUser;
return User.fb(fbUserId);
})
.then(function (user) {
if (user) {
//user found by his FB access token
res.status(HttpStatus.OK).json({accessToken: user.accessToken});
//stop the promises chain here
return p.cancel();
}
...create the user, generate a custom token and return it as above...
用户模型：
var userSchema = new mongoose.Schema({
facebookId: { type: String, required: true, unique: true },
accessToken: { type: String, required: true, unique: true },
name: { type: String, required: true },
photo: { type: String, required: true },
categories: [{ type: mongoose.Schema.Types.ObjectId, ref: 'Category' }],
notepads: [{ type: mongoose.Schema.Types.ObjectId, ref: 'Notepad' }]
});
移动应用中的Facebook身份验证：
auth: function(fbId, fbAccessToken) {
return $http({
url: apiBase + '/users/auth',
data: {
fbId: fbId,
fbAccessToken: fbAccessToken
},
method: 'POST',
cache: false
});
},
...
https://github.com/iliyan-trifonov/notepads-ionic/blob/master/www/js/services.js#L33。
移动应用程序发送带有请求的令牌：
notepads: {
list: function() {
return $http({
url: apiBase + '/notepads?insidecats=1' + '&token=' + User.get().accessToken/*gets the token from the local storage*/,
method: 'GET',
cache: false
});
},
它是一款Ionic / Angular / Cordova应用程序。从移动应用程序登录Facebook启动手机上安装的Facebook应用程序或打开弹出窗口登录Facebook。然后回调将Facebook用户的ID和访问令牌返回到我的移动应用程序。
fbgraph npm模块：https://github.com/criso/fbgraph
答案 1 :(得分：2)
我创建了以下Schema：
var userSchema = mongoose.Schema({
local: {
username: String,
password: String
},
facebook: {
id: String,
token: String,
email: String,
name: String
},
google: {
id: String,
token: String,
email: String,
name: String
},
token: {
type: Schema.Types.ObjectId,
ref: 'Token',
default: null
}
});
var tokenSchema = mongoose.Schema({
value: String,
user: {
type: Schema.Types.ObjectId,
ref: 'User'
},
expireAt: {
type: Date,
expires: 60,
default: Date.now
}
});
登录我的网络应用时，我使用像facebook / google这样的PassportJS Social插件。示例：
//auth.js(router)
router.get('/facebook', passport.authenticate('facebook', {scope: ['email']}));
router.get('/facebook/callback',
passport.authenticate('facebook', { successRedirect: '/profile',
failureRedirect: '/' }));
现在，当我想浏览我的Web应用程序时，我使用通过Facebook插件向我提供的会话身份验证。当用户想要请求API令牌时，他们需要登录，以便我可以将该令牌与用户关联。
所以现在用户有一个与他们相关联的令牌，他们可以用于我的API的令牌认证。
我的API路由不关心或查看会话，他们关心的只是令牌。我通过创建一个快速路由器，并使用护照的承载策略作为所有路线的中间件来实现这一目标。
//api.js (router)
//router middleware to use TOKEN authentication on every API request
router.use(passport.authenticate('bearer', { session: false }));
router.get('/testAPI', function(req, res){
res.json({ SecretData: 'abc123' });
});
所以现在我只对我的API使用令牌身份验证（不会查看会话数据），并且会话身份验证可以轻松导航我的webapp。我使用会话导航我的应用程序的示例如下所示：
//secure.js(router) - Access private but NON-API routes.
//router middleware, uses session authentication for every request
router.use(function(req, res, next){
if(req.isAuthenticated()){
return next();
}
res.redirect('/auth');
});
//example router
router.get('/profile', function(req, res){
res.send("Private Profile data");
});
希望这会对你有帮助！
答案 2 :(得分：0)
护照的社交媒体策略取决于会话。没有人就无法运作。
我正在运行同一个问题，我希望我的REST服务器是无状态的。
在我看来，有两种选择。
PS：您应将此标记为护照，以便传递端口开发人员可以看到它。
答案 3 :(得分：0)
如果您使用不记名令牌，则只需将唯一标识符传递给API的用户即可。这很可能是在一个单一的呼叫中完成的，也许是以登录的形式。然后，每次调用API都需要在数据库中存在验证令牌的令牌，并更新其生存时间值。对于每次登录，您不需要架构中的单个令牌，您需要具有生存时间值（TTL）的令牌的单独架构