NestJS中OAuth认证令牌的持久化存储方案问询

核心方向：安全存储令牌 + 自动化令牌管理 #

1. 加密持久化令牌到磁盘/轻量数据库 #

直接存明文确实有安全风险，换加密存储就能解决：

• 用Node.js内置的crypto模块或NestJS的@nestjs/jwt，将令牌（access_token、refresh_token、过期时间）加密后写入本地文件（比如.token.enc），加密密钥存在环境变量中，服务器启动时读取密钥解密。
• 示例代码（简化实现）：

import * as crypto from 'crypto';
import * as fs from 'fs';

const ENCRYPT_KEY = process.env.TOKEN_ENCRYPT_KEY; // 32位密钥，通过环境变量注入
const IV_LENGTH = 16;

// 加密函数
function encrypt(text: string) {
  const iv = crypto.randomBytes(IV_LENGTH);
  const cipher = crypto.createCipheriv('aes-256-cbc', Buffer.from(ENCRYPT_KEY), iv);
  let encrypted = cipher.update(text);
  encrypted = Buffer.concat([encrypted, cipher.final()]);
  return `${iv.toString('hex')}:${encrypted.toString('hex')}`;
}

// 解密函数
function decrypt(text: string) {
  const [ivHex, encryptedHex] = text.split(':');
  const iv = Buffer.from(ivHex, 'hex');
  const encryptedText = Buffer.from(encryptedHex, 'hex');
  const decipher = crypto.createDecipheriv('aes-256-cbc', Buffer.from(ENCRYPT_KEY), iv);
  let decrypted = decipher.update(encryptedText);
  decrypted = Buffer.concat([decrypted, decipher.final()]);
  return decrypted.toString();
}

// 存储令牌
export function saveToken(tokenData: { access_token: string, refresh_token: string, expires_at: number }) {
  const encryptedContent = encrypt(JSON.stringify(tokenData));
  fs.writeFileSync('.token.enc', encryptedContent);
}

// 读取令牌
export function loadToken() {
  if (!fs.existsSync('.token.enc')) return null;
  const encryptedContent = fs.readFileSync('.token.enc', 'utf8');
  return JSON.parse(decrypt(encryptedContent));
}

2. 实现自动令牌刷新逻辑 #

配合持久化，添加过期自动刷新机制：

• 服务器启动时先加载存储的令牌，检查是否过期：
  • 未过期则直接使用；
  • 已过期则用refresh_token调用Zoho的刷新接口，获取新的access_token和refresh_token，更新存储的令牌。
• 在NestJS中可以通过拦截器或服务类封装逻辑，每次调用Zoho API前自动校验令牌状态，触发刷新。
• Zoho令牌刷新请求示例：

import axios from 'axios';

async function refreshZohoToken(refreshToken: string) {
  const res = await axios.post('https://accounts.zoho.com/oauth/v2/token', null, {
    params: {
      client_id: process.env.ZOHO_CLIENT_ID,
      client_secret: process.env.ZOHO_CLIENT_SECRET,
      refresh_token: refreshToken,
      grant_type: 'refresh_token'
    }
  });
  return {
    access_token: res.data.access_token,
    refresh_token: res.data.refresh_token || refreshToken,
    expires_at: Date.now() + res.data.expires_in * 1000
  };
}

3. 切换到Zoho服务账户模式（Server-to-Server OAuth） #

如果团队允许，这是更彻底的解决方案：

• 服务账户专为服务器端应用设计，无需手动授权，通过生成JWT签名请求Zoho令牌接口，即可获取长期有效或可自动刷新的令牌。
• 操作步骤：在Zoho开发者控制台创建服务账户，生成密钥文件，用JWT工具签名请求，直接获取访问令牌，完全规避手动授权和休眠丢失令牌的问题。

4. 低成本规避服务器休眠 #

如果不想改动令牌逻辑，可以用定时任务保持服务活跃：

• 用NestJS的@nestjs/schedule模块，每隔一段时间向自身服务的健康检查接口发送请求，避免服务器因闲置休眠。
• 示例定时任务：

import { Injectable, Logger } from '@nestjs/common';
import { Cron } from '@nestjs/schedule';
import axios from 'axios';

@Injectable()
export class KeepAliveService {
  private readonly logger = new Logger(KeepAliveService.name);

  @Cron('*/15 * * * *') // 每15分钟执行一次
  async keepServerAlive() {
    try {
      await axios.get(process.env.SELF_HEALTH_CHECK_URL); // 自身的健康检查接口
      this.logger.log('Sent keep-alive request to avoid server sleep');
    } catch (err) {
      this.logger.error('Failed to send keep-alive request', err.stack);
    }
  }
}

内容的提问来源于stack exchange，提问作者Purujit Kulshreshtha