Question

我使用REST处理NodeJS api。对于身份验证，我决定使用Passport。我想要真正的RESTful api。所以这意味着我必须使用令牌而不是会话。

我想让用户使用用户名和密码登录，或者使用Facebook，Google和Twitter等社交网络。

我使用OAuth2.0模块创建自己的Access服务器以发布Refresh tokens和oauth2orize。所以现在我可以注册新用户，然后发出令牌。我遵循了这个教程：

http://aleksandrov.ws/2013/09/12/restful-api-with-nodejs-plus-mongodb/

验证用户的路线：

// api ------------------------------------------------------------------------------------
    app.get('/api/userInfo',
        passport.authenticate('bearer', { session: false }),
        function(req, res) {
            // req.authInfo is set using the `info` argument supplied by
            // `BearerStrategy`.  It is typically used to indicate scope of the token,
            // and used in access control checks.  For illustrative purposes, this
            // example simply returns the scope in the response.
            res.json({ user_id: req.user.userId, name: req.user.username, scope: req.authInfo.scope })
        }
    );

这一切都很有效。不幸的是，我不知道如何实施社会认证。

我正在阅读本教程：

http://scotch.io/tutorials/javascript/easy-node-authentication-facebook

但在本教程中，他们并没有制作真正的RESTful API。我已经根据本教程实现了用户模式，其中本地用户的标记存储在单独的模型中。

// define the schema for our user model
var userSchema = mongoose.Schema({
    local: {
        username: {
            type: String,
            unique: true,
            required: true
        },
        hashedPassword: {
            type: String,
            required: true
        },
        created: {
            type: Date,
            default: Date.now
        }
    },
    facebook: {
        id: String,
        token: String,
        email: String,
        name: String
    },
    twitter: {
        id: String,
        token: String,
        displayName: String,
        username: String
    },
    google: {
        id: String,
        token: String,
        email: String,
        name: String
    }
});

但是现在，我该如何验证用户？

passport.authenticate('bearer', { session: false }),

这只是验证我的数据库的持有者令牌，但我如何验证社交令牌？我错过了什么吗？

Answer 1

我正在使用Facebook登录我自己的my Notepads app here RESTful API。我启动了一个将用作网页的应用程序，但登录后的通信仍然是通过API。

然后我决定创建一个将使用API的mobile version of the same app。我决定这样做：移动应用程序通过Facebook登录并将facebook用户ID和FB访问令牌发送到API，API调用Facebook的API以验证这些参数并且如果成功注册新用户（或者在我的应用程序的数据库中登录现有帐户，为该用户创建自定义令牌并将其返回到移动应用程序。从这里移动应用程序发送此自定义令牌以使用API验证应用程序。

这里有一些代码：

API中的auth（使用fbgraph npm模块）：

var graph = require('fbgraph'),
Promise = require('bluebird')
...
Promise.promisify(graph.get);
...
var postAuthHandler = function (req, res) {
    var fbUserId = req.body.fbId,
    fbAccessToken = req.body.fbAccessToken,
    accessToken = req.body.accessToken;
    ...
    graph.setAppSecret(config.facebook.app.secret);
    graph.setAccessToken(fbAccessToken);

    var graphUser;
    var p = graph.getAsync('me?fields=id,name,picture')
        .then(function (fbGraphUser) {
            //when the given fb id and token mismatch:
            if (!fbGraphUser || fbGraphUser.id !== fbUserId) {
                console.error("Invalid user from fbAccessToken!");
                res.status(HttpStatus.FORBIDDEN).json({});
                return p.cancel();
            }

            graphUser = fbGraphUser;

            return User.fb(fbUserId);
        })
        .then(function (user) {
            if (user) {
                //user found by his FB access token
                res.status(HttpStatus.OK).json({accessToken: user.accessToken});
                //stop the promises chain here
                return p.cancel();
            }
            ...create the user, generate a custom token and return it as above...

https://github.com/iliyan-trifonov/notepads-nodejs-angularjs-mongodb-bootstrap/blob/6617a5cb418ba8acd6351ef9a9f69228f1047154/src/routes/users.js#L46。

用户模型：

var userSchema = new mongoose.Schema({
    facebookId: { type: String, required: true, unique: true },
    accessToken: { type: String, required: true, unique: true },
    name: { type: String, required: true },
    photo: { type: String, required: true },
    categories: [{ type: mongoose.Schema.Types.ObjectId, ref: 'Category' }],
    notepads: [{ type: mongoose.Schema.Types.ObjectId, ref: 'Notepad' }]
});

https://github.com/iliyan-trifonov/notepads-nodejs-angularjs-mongodb-bootstrap/blob/master/src/models/user.js#L9。

移动应用中的Facebook身份验证：

               auth: function(fbId, fbAccessToken) {
                return $http({
                    url: apiBase + '/users/auth',
                    data: {
                        fbId: fbId,
                        fbAccessToken: fbAccessToken
                    },
                    method: 'POST',
                    cache: false
                });
            },
            ...

https://github.com/iliyan-trifonov/notepads-ionic/blob/master/www/js/services.js#L33。

移动应用程序发送带有请求的令牌：

  notepads: {
            list: function() {
                return $http({
                    url: apiBase + '/notepads?insidecats=1' + '&token=' + User.get().accessToken/*gets the token from the local storage*/,
                    method: 'GET',
                    cache: false
                });
            },

它是一款Ionic / Angular / Cordova应用程序。从移动应用程序登录Facebook启动手机上安装的Facebook应用程序或打开弹出窗口登录Facebook。然后回调将Facebook用户的ID和访问令牌返回到我的移动应用程序。

fbgraph npm模块：https://github.com/criso/fbgraph

Answer 2

我创建了以下Schema：

var userSchema = mongoose.Schema({
    local: {
        username: String,
        password: String
    },
    facebook: {
        id: String,
        token: String,
        email: String,
        name: String
    },
    google: {
        id: String,
        token: String,
        email: String,
        name: String
    },
    token: {
        type: Schema.Types.ObjectId,
        ref: 'Token',
        default: null
    }
});

var tokenSchema = mongoose.Schema({
    value: String,
    user: {
        type: Schema.Types.ObjectId,
        ref: 'User'
    },
    expireAt: {
        type: Date,
        expires: 60,
        default: Date.now
    }
});

登录我的网络应用时，我使用像facebook / google这样的PassportJS Social插件。示例：

//auth.js(router)
router.get('/facebook', passport.authenticate('facebook', {scope: ['email']}));

router.get('/facebook/callback', 
  passport.authenticate('facebook', { successRedirect: '/profile',
                                      failureRedirect: '/' }));

现在，当我想浏览我的Web应用程序时，我使用通过Facebook插件向我提供的会话身份验证。当用户想要请求API令牌时，他们需要登录，以便我可以将该令牌与用户关联。

所以现在用户有一个与他们相关联的令牌，他们可以用于我的API的令牌认证。

我的API路由不关心或查看会话，他们关心的只是令牌。我通过创建一个快速路由器，并使用护照的承载策略作为所有路线的中间件来实现这一目标。

//api.js (router)
//router middleware to use TOKEN authentication on every API request
router.use(passport.authenticate('bearer', { session: false }));

router.get('/testAPI', function(req, res){
        res.json({ SecretData: 'abc123' });
    });

所以现在我只对我的API使用令牌身份验证（不会查看会话数据），并且会话身份验证可以轻松导航我的webapp。我使用会话导航我的应用程序的示例如下所示：

//secure.js(router) - Access private but NON-API routes.
//router middleware, uses session authentication for every request
router.use(function(req, res, next){
        if(req.isAuthenticated()){
            return next();
        }
        res.redirect('/auth');
    });
//example router
router.get('/profile', function(req, res){
        res.send("Private Profile data");
    });

希望这会对你有帮助！

Answer 3

护照的社交媒体策略取决于会话。没有人就无法运作。

我正在运行同一个问题，我希望我的REST服务器是无状态的。

在我看来，有两种选择。

将会话添加到其他服务器
添加一个新的auth服务器，负责创建和分发令牌。

PS：您应将此标记为护照，以便传递端口开发人员可以看到它。

Answer 4

如果您使用不记名令牌，则只需将唯一标识符传递给API的用户即可。这很可能是在一个单一的呼叫中完成的，也许是以登录的形式。然后，每次调用API都需要在数据库中存在验证令牌的令牌，并更新其生存时间值。对于每次登录，您不需要架构中的单个令牌，您需要具有生存时间值（TTL）的令牌的单独架构

使用Passport和OAuth2 +社交网络进行NodeJS REST身份验证

4 个答案: