RESTful API 是现代 Web 应用程序的核心。无论您是构建移动，桌面或 Web 应用程序，都需要从前端到后端的数据通信和数据导出。但是，如何保护这些重要数据和 API 是必不可少的。OAuth2 是一种目前广泛实用的协议，可以帮助您保护 RESTful API。在本文中，我们将深入研究 OAuth2 的工作原理，并为您提供一些指导性的示例代码。
OAuth2 协议简介
OAuth2 是一个开放标准协议，旨在使客户端可以安全地访问用户在另一个服务中存储的资源。例如，您可以使用 OAuth2 授权协议在 Google 上启用登录并获得用户的个人资料信息。
OAuth2 包括四个角色：
资源所有者：具有受保护资源的实体。通常是用户，但也可以是应用程序或设备。
客户端：代表资源所有者和受保护资源之间的应用程序。例如，Twitter 应用程序可以作为客户端在用户的 Twitter 账户中发布推文。
授权服务器：颁发访问令牌的服务器。客户端必须经过授权服务器进行身份验证和授权，才能获得访问受保护资源的令牌。
资源服务器：承载受保护资源的服务器。资源服务器使用访问令牌来验证客户端的身份并控制访问。
OAuth2 的授权流程
OAuth2 实现授权流程的方式是通过几个步骤完成的。以下是一些常见 OAuth2 授权流程的步骤：
用户访问客户端应用程序，并请求访问某些受保护的资源。
客户端应用程序将请求发送到授权服务器，并请求一个访问令牌。
授权服务器对客户端进行身份验证，并要求用户授权访问请求。
在受到用户授权之后，授权服务器发送访问令牌。
客户端使用访问令牌访问受保护的资源服务器。
资源服务器验证访问令牌并确定是否允许客户端访问资源。
接下来，我们将学习如何使用 OAuth2 保护 RESTful API。首先，我们需要设置授权服务器。以下是 OAuth2 授权服务器的示例代码：
// javascriptcn.com code example
const express = require('express');
const bodyParser = require('body-parser');
const oAuthServer = require('oauth2-server');
const app = express();
app.use(bodyParser.urlencoded({ extended: true }));
app.use(bodyParser.json());
app.oauth = oAuthServer({
model: {}, // 添加您的自定义数据模型
grants: ['password', 'refresh_token'],
accessTokenLifetime: 60 * 60 * 24, // 访问令牌的过期时间
refreshTokenLifetime: 60 * 60 * 24 * 14, // 包含访问令牌的更新令牌的过期时间
debug: true,
});
app.all('/oauth/token', app.oauth.grant());
app.use(app.oauth.errorHandler());
app.get('/private', app.oauth.authorize(), (req, res) => {
res.json({ message: '您已成功访问私有资源' });
});
app.listen(8002, () => console.log('OAuth2 服务器已启动'));接下来我们需要设置受保护的资源服务器。以下是 RESTful API 服务器代码的示例：
// javascriptcn.com code example
const express = require('express');
const app = express();
app.get('/public', (req, res) => {
res.json({ message: '您已成功访问公共资源' });
});
app.get('/private', (req, res) => {
res.json({ message: '您已成功访问私有资源' });
});
app.listen(8001, () => console.log('RESTful API 服务器已启动'));在这些代码中，我们看到了重点。在 OAuth2 服务器的示例代码中，我们设置了一个用于获取访问令牌和承载受保护资源的路由。在受保护的资源服务器的示例代码中，我们设置了两个不同的路由，分别公开和保护资源，其中受保护资源需要通过访问令牌来访问。
结论
现在，您已经可以通过 OAuth2 来保护 RESTful API 了。使用 OAuth2，您可以轻松地授予客户端访问受保护资源的权限，并防止来自未授权的客户端的访问。在使用 OAuth2 时，您不必为每个客户端分别分配和管理 API 密钥或凭据。我们希望这篇文章能够帮助您学习 OAuth2，并提供基本的指导和示例代码。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/672d6485ddd3a70eb6da459a