如何使用 Fastify 实现 OAuth2.0 认证-JavaScript中文网-JavaScript教程资源分享门户

OAuth2.0 是目前广泛使用的授权协议，可用于保护 API 和 Web 应用程序的安全。本文将介绍如何使用 Fastify 实现 OAuth2.0 认证。

OAuth2.0 简介

OAuth2.0 是一种授权协议，让用户可以授权第三方应用程序或 Web 应用程序来访问他们的资源，而无需将用户名和密码透露给第三方。OAuth2.0 能够提高 Web 应用程序的安全性，同时也方便了用户管理他们的数据。

OAuth2.0 的角色

OAuth2.0 定义了四个角色：

资源所有者(Resource Owner)：指能够授权访问受保护资源的实体。
客户端(Client)：指代表资源所有者请求访问受保护资源的应用程序。
授权服务器(Authorization Server)：指验证资源所有者并授权客户端访问受保护资源的服务器。
资源服务器(Resource Server)：指存储包含受保护资源的服务器。

OAuth2.0 授权过程

OAuth2.0 授权过程包括以下步骤：

客户端向授权服务器请求授权。
授权服务器要求资源所有者认证并授权客户端。
资源所有者认证后，向授权服务器授权。
授权服务器向客户端颁发访问令牌。
客户端向资源服务器请求受保护资源，并在请求中提供访问令牌。
资源服务器确认访问令牌的有效性，如果有效则提供受保护资源。

OAuth2.0 授权类型

OAuth2.0 定义了四种授权类型：

授权码模式(Authorization Code Grant)：在服务器端进行授权和 token 生成，适用于客户端是服务器端应用程序的情况。
简化模式(Implicit Grant)：在浏览器端进行授权和 token 生成，适用于客户端是单页应用程序的情况。
密码模式(Resource Owner Password Credentials Grant)：客户端通过用户的用户名和密码直接向授权服务器请求 token，适用于客户端是用户密码拥有者的情况。
客户端凭证模式(Client Credentials Grant)：客户端直接向授权服务器请求 token，适用于客户端是应用程序的情况。

Fastify

Fastify 是一个快速、低开销和可扩展的 Web 框架，旨在提供构建高效的 Web 服务器和应用程序的最佳实践。Fastify 的主要特点有：

快速：每秒可处理近 30K 请求。
可扩展：可以添加插件和中间件来扩展功能。
开销低：使用 Koa、Express 和 Hapi 等其他框架的零开销 API。
异步：使用 Promise 和 async/await 等现代 API 进行异步处理。

使用 Fastify 实现 OAuth2.0 认证

下面是使用 Fastify 实现 OAuth2.0 认证的步骤：

步骤一：安装必要的依赖

我们需要安装以下依赖：

npm install fastify fastify-oauth2 joi fastify-cors

fastify: Fastify 框架。
fastify-oauth2：Fastify OAuth2 插件。
joi：用于校验和转换参数。
fastify-cors：用于处理跨域请求。

步骤二：初始化 Fastify 和 OAuth2 插件

我们需要使用以下代码初始化：

// javascriptcn.com 代码示例
const fastify = require('fastify')();
const oauthPlugin = require('fastify-oauth2');
const Joi = require('joi');
const fastifyCORS = require('fastify-cors');

fastify.register(fastifyCORS, {
  origin: '*'
});

fastify.register(oauthPlugin, {
  name: 'discordOAuth2',
  scope: 'identify guilds email',
  credentials: {
    client: {
      id: 'YOUR_DISCORD_CLIENT_ID',
      secret: 'YOUR_DISCORD_CLIENT_SECRET',
    },
    auth: oauthPlugin.DISCORD_CONFIGURATION,
  },
  startRedirectPath: '/login',
  callbackUri: 'YOUR_DISCORD_REDIRECT_URI',
  generateStateFunction: () => {},
  checkStateFunction: () => {},
});

必须是 Discord 的 OAuth2 协议。（此处以 Discord 为例）
YOUR_DISCORD_CLIENT_ID 和 YOUR_DISCORD_CLIENT_SECRET 是在 Discord 开发者门户注册时获得的。
YOUR_DISCORD_REDIRECT_URI 是用户授权后，服务端回调的接口。

上面初始化的参数解释

name: 插件的名称。
scope: 你要跟 Discord 申请的权限。
credentials：你向 Discord 申请到的 OAuth 2.0 的凭证信息。
startRedirectPath：用户把路由授权后的跳转页面。
callbackUri：授权成功后，Discord 返回的 callback 地址，你需要在 Discord 对应的地方进行配置。
generateStateFunction：位置函数，生成一个 state 参数，用于与授权请求一起发送到授权服务器，来防范跨站请求伪造攻击。
checkStateFunction：位置函数，用于验证授权处理程序收到的 state 参数与本地存储的参数是否匹配。本地存储的参数是由 generateStateFunction 方法生成的。
然后你就可以在自己的路由里调用 oauthPlugin 它已经帮你封装了很多的请求，你只需要调用 startAuthorizationUri，获取token 然后访问https://discordapp.com/api/v6/ 或者像下面这样写：

fastify.get('/', {
  preHandler: fastify.authenticate('discordOAuth2')
}, async (request, reply) => {
  const token = request.authenticate('discordOAuth2');
  const userInfo = await fastify.fetchUserInfo('discordOAuth2', token);
  return `Logged in as ${userInfo.id}#${userInfo.discriminator} (${userInfo.email})`;
});

路由的位置你可以在你的路由文件夹里随意定义。

总结

使用 Fastify 实现 OAuth2.0 认证可以提高 Web 应用程序的安全性，并方便用户管理他们的数据，快速大家遇到 OAuth2 的时候能够做出正确的选择。

来源：JavaScript中文网，转载请注明来源本文地址：https://www.javascriptcn.com/post/653752df7d4982a6ebfcca71