Kotlin Ktor对接Airtable OAuth：如何在令牌接口传递授权码？

问题背景 #

我用Kotlin Ktor对接Airtable的OAuth服务，授权流程已完成，但在重定向及访问令牌请求环节遇到问题：

• 登录后跳转至Airtable授权页面，点击「授权访问」后本该跳转到/redirect，但该路由在authenticate块内，Ktor会先调用令牌接口。
• 根据Airtable要求，令牌接口需将授权码作为Body参数传递，但Ktor未自动传入。
• 尝试用accessTokenInterceptor但无法获取授权码；若将/redirect移出authenticate，可从URL查询参数拿到授权码，但不知如何将其传入accessTokenInterceptor。

现有代码 #

OAuth配置 #

OAuthServerSettings.OAuth2ServerSettings(
    name = "airtable",
    authorizeUrl = "https://airtable.com/oauth2/v1/authorize",
    accessTokenUrl = "https://airtable.com/oauth2/v1/token",
    requestMethod = HttpMethod.Post,
    clientId = clientId,
    clientSecret = clientSecret,
    defaultScopes = listOf("data.records:read"),
    extraAuthParameters = listOf(
        "code_challenge" to codeChallenge,
        "code_challenge_method" to "S256"
    ),
    extraTokenParameters = listOf(),
    accessTokenInterceptor = {
        val credentials = "$clientId:$clientSecret".toUrlEncoded()
        val authorizationHeader = "Basic $credentials"
        val contentTypeHeader = "application/x-www-form-urlencoded"

        this.headers.set("Authorization", authorizationHeader)
        this.headers.set("Content-Type", contentTypeHeader)

        val params = Parameters.build {
            append("code", "$somecode") // 此处无法获取实际授权码
            append("redirect_uri", "http://localhost:8080/redirect")
            append("grant_type", "authorization_code")
            append("code_verifier", codeVerifier)
        }
        this.setBody(FormDataContent(params))
    },
    onStateCreated = { call, state ->
        // 存储state与redirectUrl关联
        call.request.queryParameters["redirectUrl"]?.let {
            redirects[state] = airtableOAuthParams
        }
    }
)

路由配置 #

routing {
    authenticate("airtable-oauth") {
        get("/login") {
        }
        get("/redirect") {
            call.respondText("Login successful", status = HttpStatusCode.OK)
        }
    }
}

解决方案 #

方案1：用Ktor Sessions存储授权码与Code Verifier #

Sessions是Ktor中存储用户临时会话数据的标准方式，适合存放OAuth流程中的授权码、code_verifier这类一次性参数：

1. 配置Sessions插件

install(Sessions) {
    cookie<OAuthSession>("oauth_session") {
        cookie.path = "/"
        cookie.httpOnly = true // 禁止前端JS读取，提升安全性
        cookie.secure = false // 开发环境禁用，生产环境开启HTTPS后需设为true
    }
}

// 定义会话数据类，存储授权码和对应的code_verifier
data class OAuthSession(val authCode: String, val codeVerifier: String)

2. 调整路由结构

将/redirect移出authenticate块，获取授权码并存入Session，再重定向到受保护页面触发令牌请求：

routing {
    authenticate("airtable-oauth") {
        get("/login") { }
        // 受保护页面放在authenticate块内，触发OAuth验证
        get("/protected") {
            call.respondText("登录成功", status = HttpStatusCode.OK)
        }
    }

    // 处理Airtable重定向的路由
    get("/redirect") {
        // 从URL查询参数中获取授权码和state
        val authCode = call.request.queryParameters["code"] ?: return@get call.respond(HttpStatusCode.BadRequest)
        val state = call.request.queryParameters["state"] ?: return@get call.respond(HttpStatusCode.BadRequest)
        
        // 从之前存储的地方取出对应的code_verifier
        val oauthParams = redirects.remove(state) ?: return@get call.respond(HttpStatusCode.BadRequest)
        
        // 将参数存入Session
        call.sessions.set(OAuthSession(authCode, oauthParams.codeVerifier))
        // 重定向到受保护页面，触发Ktor的令牌请求逻辑
        call.respondRedirect("/protected")
    }
}

3. 修改accessTokenInterceptor从Session取参数

accessTokenInterceptor = {
    // 从Session中取出授权码和code_verifier
    val session = call.sessions.get<OAuthSession>() ?: error("OAuth会话不存在")
    
    val credentials = "$clientId:$clientSecret".encodeBase64()
    val authorizationHeader = "Basic $credentials"
    
    this.headers.set("Authorization", authorizationHeader)
    this.headers.set("Content-Type", "application/x-www-form-urlencoded")

    val params = Parameters.build {
        append("code", session.authCode)
        append("redirect_uri", "http://localhost:8080/redirect")
        append("grant_type", "authorization_code")
        append("code_verifier", session.codeVerifier)
    }
    this.setBody(FormDataContent(params))
}

方案2：利用Ktor OAuth内置参数传递（简化版） #

如果不需要自定义令牌请求的头部等逻辑，可通过extraTokenParameters补充必要参数，但仍需依赖Session存储code_verifier：

// 在OAuth配置中补充code_verifier参数
extraTokenParameters = listOf(
    "code_verifier" to codeVerifier // 此处codeVerifier需从Session或临时存储中获取
)

注：这种方式需确保code_verifier能与授权码正确配对，因此还是需要Session来关联临时参数。

内容的提问来源于stack exchange，提问作者Pazhamalai Arun