如何在用户名/密码和Google登录中对用户进行身份验证和授权？

Question

系统架构是这样的

1. 用户可以使用用户名密码方法（注册后）或Google登录来登录网站。

我想知道如何为这种情况实现身份验证和授权。

这就是我要实现的目标：

1. 具有基于NodeJS和Express构建的REST API服务器。
2. 登录和注册过程也由该服务器处理。
3. 使用存储在客户端的 JWT令牌来完成身份验证。然后，这些令牌也再次用于端点的授权。

这种方法有多安全？以及Google如何将登录功能添加到该架构中。 另外，是否需要如OAuth 2.0中所述的用于发出身份验证请求的单独服务器？

如果系统保持无状态以遵循RESTFul API的原则会更好。

Answer 1

我写的这篇文章可能会给您一些见识。

https://dev.to/ralphwjz/login-management-for-spa-and-everyone-else-12o6

文章涵盖了Github登录，但是如果您将GitHub替换为google，则其余流程完全相同。

我可以根据上下文回答更多的问题