Node.js搭建OAuth2授权服务器教程

本文详细讲解了如何使用Node.js从零构建一个符合OAuth2规范的授权服务器，重点实现最安全、最常用的授权码流程：通过OAuth2orize处理授权请求与令牌发放，结合Passport进行用户身份认证，并集成客户端校验、会话管理及登录/授权确认页面；代码示例清晰完整，覆盖项目初始化、依赖配置、核心端点（/authorize、/token）实现及安全注意事项，既适合初学者理解OAuth2核心机制，也为生产环境部署提供了扎实的入门基础和关键扩展方向。

实现一个支持 OAuth2 的授权服务器，核心是处理授权码流程、令牌发放、客户端认证和用户身份验证。Node.js 结合 OAuth2orize 和 Passport 是常见选择。下面是一个基础但完整的实现思路和代码示例。

1. 初始化项目并安装依赖

创建项目目录并安装必要模块：

npm init -y
npm install express oauth2orize passport passport-local bcrypt body-parser cookie-session

这些库的作用：

• express：构建 Web 服务
• oauth2orize：实现 OAuth2 授权服务器逻辑
• passport + passport-local：处理用户登录认证
• body-parser：解析请求体
• cookie-session：管理会话（用于登录状态）
• bcrypt：密码加密

2. 配置 OAuth2orize 授权服务器

创建 server.js，初始化 Express 和 OAuth2orize：

const express = require('express');
const oauth2orize = require('oauth2orize');
const bodyParser = require('body-parser');
const session = require('cookie-session');
const passport = require('passport');
const LocalStrategy = require('passport-local').Strategy;
const bcrypt = require('bcrypt');

const app = express();
const server = oauth2orize.createServer();

// 中间件
app.use(bodyParser.urlencoded({ extended: true }));
app.use(bodyParser.json());
app.use(session({ secret: 'your-session-secret', maxAge: 3600000 }));
app.use(passport.initialize());
app.use(passport.session());

// 模拟数据存储（生产环境应使用数据库）
const clients = [
  { id: 'client_id_123', secret: 'client_secret_456', redirectUri: 'http://localhost:3000/callback' }
];

const tokens = [];
const codes = [];
const users = [{ id: 1, username: 'user', password: '$2b$10$...' }]; // 密码哈希

// Passport 用户本地认证
passport.use(new LocalStrategy((username, password, done) => {
  const user = users.find(u => u.username === username);
  if (user && bcrypt.compareSync(password, user.password)) {
    return done(null, user);
  }
  return done(null, false);
}));

passport.serializeUser((user, done) => done(null, user.id));
passport.deserializeUser((id, done) => {
  const user = users.find(u => u.id === id);
  done(null, user);
});

3. 实现 OAuth2 授权端点

配置授权码（authorization code）流程：

// 生成授权码
server.grant(oauth2orize.grant.code((client, redirectUri, user, ares, done) => {
  const code = Math.random().toString(36).substr(2, 8);
  codes.push({
    value: code,
    clientId: client.id,
    redirectUri: redirectUri,
    userId: user.id
  });
  done(null, code);
}));

// 交换令牌
server.exchange(oauth2orize.exchange.code((client, code, redirectUri, done) => {
  const authCode = codes.find(c => c.value === code);
  if (!authCode) return done(null, false);

  if (client.id !== authCode.clientId) return done(null, false);
  if (redirectUri !== authCode.redirectUri) return done(null, false);

  const token = Math.random().toString(36).substr(2, 24);
  tokens.push({
    value: token,
    userId: authCode.userId,
    clientId: client.id
  });

  done(null, token);
}));

// 授权中间件：检查客户端合法性
function authenticateClient(req, res, next) {
  const clientId = req.body.client_id || req.query.client_id;
  const clientSecret = req.body.client_secret;
  const client = clients.find(c => c.id === clientId && c.secret === clientSecret);
  if (!client) return res.status(401).json({ error: 'Invalid client' });
  req.oauth2 = { client };
  next();
}

// GET /authorize - 用户确认授权页面
app.get('/authorize', server.authorize((clientId, redirectUri, done) => {
  const client = clients.find(c => c.id === clientId);
  if (!client) return done(new Error('Unknown client'));
  if (client.redirectUri !== redirectUri) return done(new Error('Invalid redirect URI'));
  return done(null, client, redirectUri);
}), (req, res) => {
  res.render('dialog', { transactionID: req.oauth2.transactionID, user: req.user, client: req.oauth2.client });
});

// POST /authorize/decision - 处理用户同意/拒绝
app.post('/authorize/decision', server.decision());

// POST /token - 获取访问令牌
app.post('/token', authenticateClient, server.token(), server.errorHandler());

4. 用户登录与授权确认页面

添加简单视图（可用模板引擎如 EJS 或直接返回 HTML）：

app.get('/login', (req, res) => {
  res.send(`
    

      

      

      登录
    
  `);
});

app.post('/login', passport.authenticate('local', { failureRedirect: '/login' }), (req, res) => {
  // 登录成功后重定向到授权确认页
  res.redirect('/authorize?client_id=' + req.query.client_id + '&response_type=code&redirect_uri=' + encodeURIComponent(req.query.redirect_uri));
});

5. 启动服务器

```javascript app.listen(3000, () => { console.log('OAuth2 授权服务器运行在 http://localhost:3000'); }); ```

基本上就这些。这个例子实现了标准的授权码流程：

• 客户端跳转到 /authorize 请求授权
• 用户登录并确认授权
• 服务器返回授权码
• 客户端用授权码请求 /token 换取访问令牌

注意：这只是一个教学示例。生产环境需要加入更多安全措施，比如 HTTPS、CSRF 防护、刷新令牌、令牌过期、数据库持久化、PKCE 扩展等。

本篇关于《Node.js搭建OAuth2授权服务器教程》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！