环回3：在仅API的项目上实施社交身份验证

Question

我正在评估仅REST API的服务器的环回3，并且我希望允许客户端使用社交平台登录。大多数API方法将受到访问令牌和ACL的限制。经过调查，我发现社交登录的通用架构是

1. 客户端（浏览器）与提供商（例如Facebook）协商有效的社交令牌
2. 客户将社交令牌提交到API服务器（环回）
3. 服务器使用提供者（Facebook）验证令牌，创建本地用户，并返回REST API的访问令牌（当然，这必须是经过解析的服务器端，并且从客户端调用一个操作）

我已经实现了针对环回（https://github.com/strongloop/loopback-example-passport）上的社交身份验证的建议解决方案，但是我找不到在其上包含上层架构的方法。具体来说：

1. import { Report } from 'report'; // This is part of powerbi-client library const report: Report = <Report> pbiService.embed(container, reportConfig)); report.on("dataSelected", event => { console.log("dataSelected", event); }); report.on("buttonClicked", event => { console.log("buttonClicked", event); }); 包含服务器侧视图和我在项目中不需要的内容（而且我不确定要删除什么内容）
2. 我不确定要使用哪种方法调用来验证facebook的令牌，创建User（它不存在）并返回客户端访问令牌。

这是预期的体系结构图： （图片来源：https://medium.com/@spyna/how-really-protect-your-rest-api-after-social-login-with-node-js-3617c336ebed）