28

我正在使用 Passport.js 进行身份验证，并且根据Google 的 OAuth2 文档，我传入了一个状态变量：

app.get('/authenticate/googleOAuth', function(request, response) {
  passport.authenticate('google', {
    scope:
    [
      'https://www.googleapis.com/auth/userinfo.profile',
      'https://www.googleapis.com/auth/userinfo.email'
    ],
    state: { blah: 'test' }
  })(request, response);
});

但是，我以后似乎无法访问该变量：

passport.use(new googleStrategy(
{
    clientID: '...',
    clientSecret: '...',
    callbackURL: '...',
    passReqToCallback: true
},
function(request, accessToken, refreshToken, profile, done) {
  console.log('state: ' + request.query.state);
  login(profile, done);
}));

request.query.state 未定义。request.param("state") 也不起作用。

身份验证回调后如何获取该变量？

4

2 回答 2

25

这不起作用的原因是因为您将状态作为对象而不是字符串传递。似乎护照并没有为您确定该值。如果你想通过 state 参数传递一个对象，你可以这样做：

passport.authenticate("google", {
  scope: [
    'https://www.googleapis.com/auth/userinfo.profile',
    'https://www.googleapis.com/auth/userinfo.email'
  ],
  state: base64url(JSON.stringify(blah: 'test'))
})(request, response);

正如 Rob DiMarco 在他的回答中指出的那样，您可以访问state回调req.query对象中的参数。

我不确定编码应用程序状态并将其传递到state参数中是一个好主意。OAuth 2.0 RFC第 4.1.1 节将状态定义为“不透明值”。它旨在用于CSRF 保护。在授权请求和回调之间保留应用程序状态的更好方法可能是：

  1. 生成一些state参数值（例如 cookie 的哈希）
  2. state在启动授权请求之前将应用程序状态作为标识符持久化
  3. state使用从 Google 传回的参数在回调请求处理程序中检索应用程序状态
于 2014-04-21T16:56:13.663 回答
1

对此进行简要测试，使用 Node.js v0.8.9，Google OAuth 2.0 授权请求的运行时配置参数最终通过库中的getAuthorizeUrl方法进行格式化node-auth。此方法依赖于querystring.stringify格式化重定向 URL：

exports.OAuth2.prototype.getAuthorizeUrl= function( params ) {
  var params= params || {};
  params['client_id'] = this._clientId;
  params['type'] = 'web_server';
  return this._baseSite + this._authorizeUrl + "?" + querystring.stringify(params);
}

（以上复制自https://github.com/ciaranj/node-oauth/blob/efbce5bd682424a3cb22fd89ab9d82c6e8d68caa/lib/oauth2.js#L123）。

使用您指定的状态参数在控制台中进行测试：

querystring.stringify({ state: { blah: 'test' }})=>'state='

作为一种解决方法，您可以尝试对对象进行 JSON 编码，或使用单个字符串，这应该可以解决您的问题。然后，您可以state在回调请求处理程序中通过req.query.state. JSON.parse(req.query.state)访问时请记住。

于 2013-01-15T06:20:31.890 回答