前言
在 Web 开发中，身份验证通常是一个非常重要的方面，尤其是在用户需要注册、登录或访问需要授权的页面和 API 时。OAuth2 协议是一种广泛使用的身份验证和授权协议，Web 开发中使用 OAuth2 通常非常常见。在本篇文章中，我们将介绍如何使用 Hapi-Oauth2-Server 实现 OAuth2 的身份验证。
什么是 Hapi-Oauth2-Server
Hapi-Oauth2-Server 是一个基于 Hapi 的 OAuth2 服务器实现，它提供了一个简单、易于使用的界面，让开发者可以快速地构建自己的 OAuth2 服务器。它支持许多 OAuth2 流程，例如授权码流程、密码流程和客户端凭证流程等，通过与 Hapi 框架的集成，可以轻松地将 OAuth2 服务器添加到现有的 Web 应用程序中。
如何使用 Hapi-Oauth2-Server 进行身份验证
在介绍如何使用 Hapi-Oauth2-Server 进行身份验证之前，我们需要先了解 OAuth2 协议是如何工作的。OAuth2 协议定义了许多不同的流程和授权方式，但是最常见的流程是授权码流程：
- 用户访问应用程序并请求以某种方式进行身份验证（例如登录或访问需要授权的页面）。
- 应用程序跳转到 OAuth2 服务器，并向其请求授权。用户需要同意授权请求，并输入其凭据。
- 如果用户同意授权，OAuth2 服务器将向应用程序返回授权码。
- 应用程序将授权码发送回 OAuth2 服务器以换取访问令牌。
- OAuth2 服务器将访问令牌发送回应用程序。
- 应用程序可以使用访问令牌来访问需要授权的资源。
现在，我们可以开始介绍如何使用 Hapi-Oauth2-Server 实现 OAuth2 的身份验证了。
安装和设置
在开始之前，我们需要安装 Hapi-Oauth2-Server。可以使用 npm 在项目中安装：
npm install hapi-oauth2-server
接下来，我们需要在项目中定义我们的 OAuth2 服务器。我们将使用 Hapi 作为基础框架，使用 Hapi-Oauth2-Server 提供的插件实现 OAuth2 的身份验证。
-- -------------------- ---- -------
----- ---- - ----------------------
----- ----------- - ------------------------------
----- ------ - --- -------------
----- -----
----- -----------
---
----- ------------ - -
------ -- -- --------
--
----- -----------------
------- ------------
-------- ------------
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------ --------
-
--
----- ---------------
------------------- ------- -- ---- -----------------在上面的代码片段中，我们首先导入了 Hapi 框架和 Hapi-Oauth2-Server，并设置了我们的端口和主机。接下来，我们定义了我们的 OAuth2 服务器，并在其中设置了一个模型对象。模型对象用于定义如何处理 OAuth2 的流程和请求，以及如何访问我们的数据库等。
接下来，我们使用 Hapi 的 register() 方法注册了 Hapi-Oauth2-Server 插件，并将其选项设置为我们之前定义的 OAuth2 服务器。
最后，我们定义了一个路由，用于显示“Hello World!”消息。
添加 OAuth2 身份验证
现在，我们已经定义了我们的 OAuth2 服务器，接下来我们需要定义如何使用 OAuth2 身份验证保护我们的应用程序。Hapi-Oauth2-Server 提供了两种方式来实现 OAuth2 身份验证：基于路由的授权和全局授权。
基于路由的授权
基于路由的授权意味着您可以为每个路由定义自己的 OAuth2 身份验证规则。这对于需要差异化身份验证规则的应用程序非常有用。
您可以使用 server.auth.strategy() 方法来为每个路由定义不同的 OAuth2 策略。下面是一个示例：
-- -------------------- ---- -------
----- ------ - --- -------------
----- -----
----- -----------
---
----- ------------ - -
------ -- -- --------
--
----- -----------------
------- ------------
-------- ------------
---
-- ---- ------ --
--------------------------------------- --------- -
---------- ---------
---------------- ---------------
-------------------- -
------ --------- -------
-
---
------------------------------------------------- --------- -
---------- ---------
---------------- ---------------
-------------------- -
------ ----------
-
---
--------------
-- -- --------------- ------
-
------- ------
----- ------------------
-------- --------- -- -- -
------ -------- -- ---- ------------
--
-------- -
----- -----------------
-
--
-- -- ------------------------- ------
-
------- ------
----- --------------------
-------- --------- -- -- -
------ -------- -- ------ ------------
--
-------- -
----- ---------------------------
-
-
--
----- ---------------
------------------- ------- -- ---- -----------------在上面的代码片段中，我们首先定义了两个 OAuth2 策略，一个是基于用户的密码策略，一个是基于客户端凭证的策略。
接下来，我们使用 server.auth.strategy() 方法为每个路由定义了不同的 OAuth2 策略。在第一个路由中，我们使用 oauth2-password 策略保护路由，并设置了要求只允许具有 admin 和 user 权限的用户访问。在第二个路由中，我们使用 oauth2-client-credentials 策略保护路由，并设置了要求只允许具有 client 权限的客户端访问。
全局授权
全局授权是一种简单的 OAuth2 身份验证解决方案，我们可以为整个应用程序定义一个统一的授权规则。这通常适用于不需要差异化身份验证规则的应用程序。
您可以使用 server.auth.default() 方法为整个应用程序设置统一的 OAuth2 策略。下面是一个示例：
-- -------------------- ---- -------
----- ------ - --- -------------
----- -----
----- -----------
---
----- ------------ - -
------ -- -- --------
--
----- -----------------
------- ------------
-------- ------------
---
--------------------------------------- --------- -
---------- ---------
---------------- ---------------
-------------------- -
------ --------- -------
-
---
---------------------------------------
--------------
------- ------
----- -------------
-------- --------- -- -- -
------ -------- -- ---- ------------
-
--
----- ---------------
------------------- ------- -- ---- -----------------在上面的代码片段中，我们使用 server.auth.default() 方法为整个应用程序设置了 oauth2-password 策略，即只允许具有 admin 和 user 权限的用户访问应用程序。
创建 OAuth2 客户端
现在，我们已经定义了 OAuth2 服务器和身份验证规则，接下来我们需要创建 OAuth2 客户端以向我们的应用程序请求授权码。
要创建 OAuth2 客户端，请使用 Hapi-Oauth2-Server 提供的 createClient() 方法，如下所示：
-- -------------------- ---- -------
----- ----------- - ----- ---------------------------------------------------
--------- -----------------
------------- ---------------------
------- -
----------
--
------------- -
--------------------------------------
--
------- -
--------
------
-
---
-------------------------在上面的代码片段中，我们使用 createClient() 方法创建了一个 OAuth2 客户端，并设置了以下参数：
- clientId：客户端 ID，用于标识客户端。
- clientSecret：客户端秘钥，用于保护应用程序免受诸如中间人攻击之类的威胁。
- grants：授予客户端的 OAuth2 流程列表。在此示例中，我们只授予了密码流程。
- redirectUris：OAuth2 客户端的重定向 URI 列表，用于将用户转向 OAuth2 服务器以获得授权。
- scopes：OAuth2 客户端请求的 OAuth2 作用域列表。
请求授权码和访问令牌
现在，我们已经定义了 OAuth2 服务器、身份验证规则和 OAuth2 客户端，接下来我们需要使用 OAuth2 客户端请求授权码和访问令牌。
首先，我们需要向 OAuth2 服务器请求授权码，如下所示：
-- -------------------- ---- -------
----- -------- - ----- ---------------
------- ------
---- -------------------
------ -
------------- ----------------------------
-------------- -------
---------- ---------------------
------ ------------------------- --
-
---
-------------------------------- ---------------------------在上面的代码片段中，我们使用 server.inject() 方法向 OAuth2 服务器请求授权码。我们在 URL 查询字符串中设置了 redirect_uri、response_type、client_id 和 scope 参数，这些参数对应于之前在创建 OAuth2 客户端时设置的参数。
OAuth2 服务器将重定向用户到指定的重定向 URI，并将授权码传递给我们的应用程序。我们使用授权码来请求访问令牌：
-- -------------------- ---- -------
----- -------- - ----- ---------------
------- -------
---- ---------------
-------- -
--------------- ------------------------------------
---------------- ------ - - -------------------------------------------------------------------------------------
--
-------- -
----------- ---------------------
------------- ----------------------------
----- -------------------------
-
---
-------------------------------- -----------------在上面的代码片段中，我们使用 server.inject() 方法向 OAuth2 服务器请求访问令牌。我们在 HTTP 头中设置了 Authorization 基本认证头，其中包括我们之前在创建 OAuth2 客户端时设置的客户端 ID 和客户端秘钥。我们还在负载中设置了 grant_type、redirect_uri 和 code 参数，这些参数对应于从 OAuth2 服务器获得的授权码。
OAuth2 服务器将发送访问令牌作为响应。我们可以使用访问令牌来访问我们需要授权的资源，并在身份验证规则中使用它来阻止未经授权的访问。
总结
在本篇文章中，我们学习了如何使用 Hapi-Oauth2-Server 实现 OAuth2 的身份验证。我们首先了解了 OAuth2 协议的基础知识，并学习了如何安装和设置 Hapi-Oauth2-Server。接下来，我们学习了如何使用基于路由的授权和全局授权来定义 OAuth2 身份验证规则，并创建了 OAuth2 客户端来请求授权码和访问令牌。
使用 Hapi-Oauth2-Server 可以轻松地添加 OAuth2 身份验证到 Web 应用程序中。在使用 OAuth2 时，请务必记住实施安全措施来保护您的 Web 应用程序免受身份验证和授权方面的威胁。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/664804ddd3423812e468ea1e