使用 OAuth、express 和 React.js 的最佳实践是什么

Question

我不太了解第三方身份验证的工作流程。 我正在尝试创建一个 SPA 应用程序，其后端在 Express 上，前端在 React 上。 应用程序应处理来自 GitHub API 的 webhook。

我已经设法在我的后端对用户进行身份验证，但是如何将 access_token 发送到前端？ （所以我可以在前端做ajax）。 GitHub 允许使用令牌承载发送 ajax 请求。 例子： curl -H "Authorization: token OAUTH-TOKEN" https://api.github.com/user

我是否通过查询字符串将 JWT 令牌发送到前端？但那我该怎么办？

Answer 1

您可以将端点添加到您的 Web 后端，例如 GET /token。但是，这需要通过您的 Web 后端发布的身份验证 cookie 加以保护。

如果您正在构建 SPA，那么另一种选择（我更喜欢）是完全无 cookie。这是通过以下步骤完成的：

• 通过oidc-client 库实现身份验证
• 登录后浏览器会收到一个访问令牌并可以发送到 GitHub
• 仅使用 Express 来提供 Web 静态内容

如果对这种方法感兴趣，请查看我的这些资源：

• SPA and API Code Sample
• Blog Post
• React SPA Code Sample