使用节点 js 授予 OAuth2 密码

Question

我正在设计一个web应用，主要分为以下两部分

1. 网站 (UI)：Node JS Express 应用程序将托管为 www.mysite.com
2. Rest API：业务逻辑（Atuhentiation、授权、业务逻辑）并将托管为一些不同的域，例如 api.mysite.com

我想为此应用实施 OAuth2。我通读了 OAuth2 并了解了它的各种流程，根据我的理解，我得出结论，“Resource Owner Password Credentials”流程是一种方式，因为客户端和服务都属于我，用户也将直接在我的应用程序中注册，因此他们将提供用户名和密码。

我对“资源所有者密码凭据”流程进行了很多研究，但这个流程很少被谈论和记录。我几乎不知道如何在我的应用程序中实现这个流程。我正在 Node JS 中开发网站和 Rest API。 请指导我应该如何实现这一点？任何演示、文档都会有所帮助。

提前致谢！

Answer 1

你是对的。它的文档很少，而且它经常被误导性地解释错误。 对该流程的大多数解释都没有指出，该流程有两种不同的情况。

如果您有 SPA 或类似的开放式应用程序，您不希望在 ROPC 流程中拥有客户端 ID 或客户端密码。因为，每个人都可以阅读它。此外，RFC 中也没有要求。

您的情况是没有授权的 2-legged oauth。

这是一篇关于如何保护 ROPC 流的非常好的文章： http://andyfiedler.com/2014/09/how-secure-is-the-oauth2-resource-owner-password-credential-flow-for-single-page-apps

希望对您有所帮助，我目前正在努力解决同样的问题。