Ktor中基于用户动态设置OAuth Client ID与Secret的实现咨询

方案1：自定义OAuthProvider动态获取凭证 #

这是最贴合Ktor认证体系的方案，通过继承官方的OAuthProvider类，重写需要使用Client ID/Secret的方法，从当前请求上下文（比如请求参数、会话）中获取用户标识，再加载对应凭证。

示例代码：

// 自定义支持动态凭证的GitHub Provider
class DynamicGitHubProvider(
    name: String = "github",
    defaultScopes: List<String> = listOf("user:email")
) : OAuth2Provider(name, defaultScopes) {
    // 重写授权请求准备逻辑，替换为动态凭证
    override suspend fun prepareRequest(
        call: ApplicationCall,
        request: OAuthRequest
    ): OAuthRequest {
        // 从请求参数获取用户标识（也可以从会话、Cookie读取）
        val userId = call.parameters["userId"] ?: error("User ID is required")
        // 从数据库/配置服务加载该用户对应的OAuth凭证
        val (clientId, clientSecret) = fetchUserOAuthCredentials(userId)
        
        return request.copy(
            clientId = clientId,
            clientSecret = clientSecret
        )
    }

    // 重写Token请求逻辑，确保使用对应用户的凭证
    override suspend fun requestToken(
        call: ApplicationCall,
        code: String,
        redirectUri: String
    ): OAuthTokenResponse {
        val userId = call.parameters["userId"] ?: error("User ID is required")
        val (clientId, clientSecret) = fetchUserOAuthCredentials(userId)
        
        // 手动构造Token请求，避免依赖父类的静态配置
        return client.post("https://github.com/login/oauth/access_token") {
            contentType(ContentType.Application.FormUrlEncoded)
            setBody(
                listOf(
                    "client_id" to clientId,
                    "client_secret" to clientSecret,
                    "code" to code,
                    "redirect_uri" to redirectUri
                ).formUrlEncode()
            )
        }.body<OAuthTokenResponse.OAuth2>()
    }
}

// 安装OAuth插件时使用自定义Provider
install(OAuth) {
    provider(DynamicGitHubProvider())
}

// 登录路由配置
route("/login") {
    authenticate("github") {
        get {
            // 将用户ID传递到授权流程中
            val authUrl = authenticateUrl(
                "github",
                parameters = parametersOf("userId", call.parameters["userId"] ?: "")
            )
            call.redirect(authUrl)
        }
    }
}

方案2：手动实现OAuth授权流程 #

如果觉得内置OAuth插件限制太多，可以完全绕过插件，手动处理OAuth2的授权码流程，每一步都动态使用用户对应的凭证。

示例代码：

// 登录跳转路由
route("/login") {
    get {
        val userId = call.parameters["userId"] ?: error("User ID required")
        val (clientId, _) = fetchUserOAuthCredentials(userId)
        
        // 构造动态授权URL
        val authUrl = buildString {
            append("https://github.com/login/oauth/authorize")
            append("?client_id=$clientId")
            append("&redirect_uri=${call.request.origin.run { "$scheme://$host$port/oauth/callback" }}")
            append("&scope=user:email")
            append("&state=$userId") // 用state传递用户ID，防止CSRF
        }
        
        call.redirect(authUrl)
    }
}

// OAuth回调路由
route("/oauth/callback") {
    get {
        val code = call.parameters["code"] ?: error("Authorization code missing")
        val userId = call.parameters["state"] ?: error("User ID missing")
        val (clientId, clientSecret) = fetchUserOAuthCredentials(userId)
        
        // 手动请求访问Token
        val tokenResponse = client.post("https://github.com/login/oauth/access_token") {
            contentType(ContentType.Application.FormUrlEncoded)
            setBody(
                listOf(
                    "client_id" to clientId,
                    "client_secret" to clientSecret,
                    "code" to code,
                    "redirect_uri" to "${call.request.origin.run { "$scheme://$host$port/oauth/callback" }}"
                ).formUrlEncode()
            )
        }
        
        val tokenParams = tokenResponse.body<String>().split("&")
            .associate { it.split("=").let { parts -> parts[0] to parts[1] } }
        val accessToken = tokenParams["access_token"] ?: error("Access token not found")
        
        // 用Token获取用户信息
        val userInfo = client.get("https://api.github.com/user") {
            headers { append(HttpHeaders.Authorization, "Bearer $accessToken") }
        }.body<GithubUser>()
        
        // 处理登录逻辑（比如创建会话、返回用户信息）
        call.respondRedirect("/dashboard")
    }
}

// 辅助数据类
data class GithubUser(val id: Long, val login: String, val email: String?)

关键注意事项 #

• 用户标识传递：可以通过请求参数、state参数（OAuth规范推荐）、会话或Cookie传递用户ID，避免泄露敏感信息。
• 凭证存储安全：用户的Client ID和Secret务必加密存储在数据库或安全配置中心，禁止明文存储。
• 线程安全：如果使用自定义Provider，确保每个请求的凭证都是从上下文获取，不要在Provider类中共享可变状态，避免并发请求冲突。

内容的提问来源于stack exchange，提问作者vishwas-trivedi