OAuth2是目前很多web应用使用的一种授权机制。wothoauth2orize是一个基于Node.js的OAuth2 Server，可以帮助开发者快速搭建OAuth2 Server从而简化业务开发。
本文将介绍如何使用npm包wotoauth2orize来创建OAuth2 Server，并提供详细的示例代码和指导。
准备工作
在使用wothoauth2orize前，需要确保已经完成以下准备工作：
- Node.js环境
- 安装wothoauth2orize
你可以使用以下命令来安装wothoauth2orize：
npm install wotoauth2orize
同时，为了便于管理用户和客户端信息，我们还需要一个存储介质，可以是关系型数据库、非关系型数据库或者文件系统。本文以MongoDB作为存储介质，并使用Mongoose作为ORM。
npm install mongoose
创建OAuth2 Server
在准备工作完成后，让我们开始创建OAuth2 Server！
首先我们需要在Node.js中引入wothoauth2orize、express和body-parser这3个包：
var oauth2orize = require('wothoauth2orize');
var express = require('express');
var bodyParser = require('body-parser');接下来，我们需要定义数据库连接字符串和Mongoose数据模型：
-- -------------------- ---- ------- --- --------------------- - ---------------------------------- --- -------- - -------------------- ---------------------------------------- --- ------ - ---------------- --- ----------------- - --- -------- --------- ------- ------------- ------- ------------- -------- --- --- ----------- - ----------------------------- ------------------- --- --------------- - --- -------- --------- ------- --------- ------ --- --- --------- - --------------------------- ----------------- --- ---------------------- - --- -------- ------------ ------- --------- ------- -------- ----- ------- ------ --- --- ---------------- - ---------------------------------- ------------------------ --- ----------------------- - --- -------- ------------- ------- --------- ------- -------- ----- ------- ------ --- --- ----------------- - ----------------------------------- -------------------------
在定义完数据模型后，我们需要初始化express应用，使用body-parser来解析POST请求的请求体：
var app = express();
app.use(bodyParser.urlencoded({ extended: true }));然后，我们需要OAuth2 server来管理授权过程，并创建OAuth2 Server的实例：
var server = oauth2orize.createServer();
现在，我们已经完成了OAuth2 Server的创建和初始化，接下来该定义授权流程和相应的授权接口。
定义授权流程
OAuth2授权流程是自定义的，wothoauth2orize支持使用多个中间件来完成授权流程。通过使用多个中间件，我们可以灵活地定制授权流程，同时解耦各个环节，让授权流程更加易于维护和扩展。
在本示例中，我们需要完成的授权流程为：
- 用户打开客户端应用的登录页面
- 用户输入用户名和密码，提交登录表单
- 客户端应用将用户名和密码发送到OAuth2 Server，获取授权码(code)
- 客户端应用使用授权码交换Access Token
- 客户端应用使用Access Token获取用户信息
下面是每一个授权流程的具体实现。
用户登录
用户打开客户端应用的登录页面，并输入用户名和密码，点击“登录”按钮，将POST请求发送到/login接口。在该接口中，我们需要验证用户名和密码是否正确，如果正确返回授权码(code)，否则返回错误信息。示例代码如下：
-- -------------------- ---- -------
---------------------------------------------------- ------------ ----- ----- ----- -
--- ---- - --------------
--- -- - --- ------------------------
------------------ -----
--------- ----------------
-------- ---------- - -------
------- --------
------------ -----------
---
--------------------- -
-- ----- - ------ ---------- -
---------- ------
---
----
------------------ ------------- ---- -
--- -------- - ------------------
--- -------- - ------------------
------------------- --------- --------- --------- -------- -- ------------- ----- -
-- ----- - ----- ---- -
-- ------- -
------------------- -------- -- -----------
- ---- -
--- -------- - -------------------
--- ----------- - ----------------------
-- ---------- -- ------------- -
----------------- -------- ---------- ---------- -- ----------------
- ---- -
--------------------- --------- -------- -- ------------- ------- -
-- ----- - ----- ---- -
-- --------- -
----------------- ------ -----
- ---- -
----------------------- ---- ---------- -
------------------------ - -------- - ------
---
-
---
-
-
---
---在上面的代码中，我们使用了OAuth2 Server的grant中间件来实现授权码的生成。当客户端应用发送POST请求至/login接口时，我们通过查询数据库来验证用户名和密码。如果用户名和密码正确，则验证请求是否包含必须的参数(client_id和redirect_uri)，如果都正确，就返回code。
交换Access Token
客户端应用获取授权码之后，需要使用该授权码来交换Access Token，并且需要使用Client ID和Client Secret进行身份验证。在本示例中，我们将客户端的ID和Secret存储在MongoDB中的OAuthClient表中。
下面是交换Access Token的示例代码：
-- -------------------- ---- -------
---------------------------------------------------------- ----- ------------ ----- -
-------------------------------- ------------------ ---- -- ------------- ----- -
-- ----- - ------ ---------- -
-- ------- - ------ ---------- ------- -
-- ---------------- --- -------------- - ------ ---------- ------- -
-- ------------ --- ----------------- - ------ ---------- ------- -
--- ----- - ---------------
--- ----------- - --- ------------------
------------ ------
--------- ----------------
------- ------------
-------- ---------- - ---- - ----
---
------------------------------ -
-- ----- - ------ ---------- -
---------- -------
---
---
----
------------------ ------------- ---- -
--- -------- - -------------------
--- ------------ - -----------------------
--------------------- --------- --------- ------------- ------------ -- ------------- ------- -
-- ----- - ----- ---- -
-- --------- -
----------------- ------ -- -- ------ ---------
- ---- -
--- --------- - --------------------
--- ---- - --------------
--- ----------- - ----------------------
-- ----------- -- --------- --- -------------------- --
----- -- ------------- -
----------------- ----------
- ---- -
---------------------------------------------------------- ----- ------------ ----- -
-------------------------------- ------------------ ---- -- ------------- ----- -
-- ----- - ------ ---------- -
-- ------- - ------ ---------- ------- -
-- ---------------- --- -------------- - ------ ---------- ------- -
-- ------------ --- ----------------- - ------ ---------- ------- -
--- ----- - ---------------
--- ----------- - --- ------------------
------------ ------
--------- ----------------
------- ------------
-------- ---------- - ---- - ----
---
------------------------------ -
-- ----- - ------ ---------- -
---------- -------
---
---
-------- ---- ------------- -
-- ----- - ----------------- ---------- -
---
-
-
---
---在上面的代码中，我们使用OAuth2 Server的exchange中间件来实现Access Token的生成。当客户端应用向/token接口发送POST请求时，我们查询数据库验证Client ID和Client Secret，并且检查请求是否包含必须的参数(grant_type, code和redirect_uri)。如果都正确，使用授权码(code)来交换Access Token。
Access Token获取用户信息
在客户端应用成功获取Access Token之后，可以使用该Token来获取用户信息。在本示例中，我们需要使用Access Token从数据库中查询出相应的用户信息。
下面是获取用户信息的示例代码：
-- -------------------- ---- -------
------------------- ------------- ---- -
--- ------------- - --------------------------
-- ---------------- -
-------------------------------------
- ---- -
--- ----- - --------------------- ---
-- ------------- --- -- -
-------------------------------------
- ---- -
--- ------ - ---------
--- ----------- - --- ---------------- --------------------------------
--- ----------- - ---------------
-------------------------- ------------ ----------- -- ------------- ------ -
-- ----- - ----- ---- -
-- -------- -
-------------------------------------
- ---- -
--- ------ - -------------
------------------- ---- ------ -- ------------- ----- -
-- ----- - ----- ---- -
-- ------- -
-------------------------------------
- ---- -
---------------
-
---
-
---
-
-
---在上面的代码中，当客户端应用发送GET请求至/profile接口时，我们首先验证请求是否包含Access Token，如果没有则返回401 Unauthorized错误。如果包含Access Token，我们从数据库中查询出对应的用户信息，并返回用户信息。
示例代码
本示例代码可以在以下地址获得：
结论
在本文中，我们介绍了如何使用npm包wothoauth2orize来创建OAuth2 Server，并详细地讲述了授权流程的每一环节及其实现。同时，我们提供了示例代码和指导，希望读者在学习和使用OAuth2授权机制时能够得到帮助。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/600671148dd3466f61ffe55f