使用 OAuth 2 数据保护 API 调用

Question

我有 2 个节点应用程序。 首先是用于 Mongo DB 的简单 RESTfull CRUD API。 其次是在服务器中具有 Google OAuth 2 访问权限的 Backbone 应用程序（为此我使用 passport.js）。

我想在 Mongo DB 集合中存储经过身份验证的用户以及一些附加信息，例如角色或 grantAccess 字段。第一个应用程序必须检查该用户是否有权访问数据。

问题是如何将有关用户的信息传递给我的 API，我需要发送哪些信息？我可以发送 oauth 令牌的散列副本，然后将其与来自 DB 或其他信息的散列文件进行比较吗？在这种情况下，最好的方法是什么？

非常感谢。

Answer 1

有两种选择：

• 在您的服务器上实现 oauth2。

• 将您的 google 访问令牌存储在您的骨干网中，然后在每次请求时将访问令牌发送到您的安静的 crud。在服务器上获取访问令牌所有者的 id，在您的 mongodb 中查询已注册 google id 的用户，并获取他们的权限。

我已经使用这种方法来验证我的应用程序（但使用 facebook），因为我认为您可以相信 facebook 或 google 的响应。