Discord Bot集成Canvas LMS API的OAuth2认证实现困惑求助

1. 先获取Canvas OAuth2的Client ID和Client Secret #

你之前的误区是找错了创建入口——Canvas的OAuth2应用不是普通访问令牌，需要创建开发者密钥（Developer Key）：

• 登录Canvas（个人账号通常默认拥有开发者权限），进入「设置」→「开发者密钥」
• 点击「+ 开发者密钥」，选择「OAuth2公钥」类型
• 填写应用名称、描述，先在「重定向URI」栏填一个临时地址（比如http://localhost:3000/callback，后续可调整）
• 创建完成后，就能看到Client ID，点击「显示」可查看Client Secret

2. 无Web界面下的Redirect URI配置方案 #

因为Discord Bot没有前端页面，有两种可行方案：

方案一：本地/内网穿透回调（推荐） #

• 让Bot启动一个轻量HTTP服务器，监听本地端口（比如3000），将回调地址设为http://localhost:3000/callback
• 如果Bot部署在云服务器，或需要用户远程授权，用内网穿透工具生成公网地址（比如https://xxxx-xx-xx-xx-xx.ngrok.io/callback），把这个地址配置到Canvas开发者密钥的重定向URI中
• 回调时，HTTP服务器接收Canvas返回的code和state，完成令牌兑换后可关闭服务器（或保持后台运行）

方案二：手动授权码传递（体验稍差） #

• 在Canvas开发者密钥中设置重定向URI为https://discord.com/channels/@me（或其他能让用户直观看到授权码的页面）
• 用户授权后，页面会显示包含code的URL，让用户复制该code发送给Discord Bot
• Bot拿到code后再去兑换令牌

3. Discord Bot中实现OAuth2流程的步骤 #

步骤1：生成授权链接发给用户 #

构造Canvas授权URL，替换占位符：

https://<canvas-install-url>/login/oauth2/auth?client_id=你的ClientID&response_type=code&redirect_uri=你的回调地址&state=随机字符串&scope=url:GET|/api/v1/courses url:GET|/api/v1/courses/:id/assignments

• state：生成随机字符串，和用户Discord ID绑定存储（防止CSRF攻击）
• scope：根据需求填写API权限，比如获取课程填url:GET|/api/v1/courses，获取作业填url:GET|/api/v1/courses/:id/assignments，多个权限用空格分隔（URL编码后为%20）

步骤2：处理回调兑换令牌 #

用户授权后，Canvas会跳转到你的回调地址，携带code和state：

• 验证state是否和之前存储的一致，匹配对应的Discord用户
• 向Canvas令牌端点发送POST请求兑换令牌：

POST https://<canvas-install-url>/login/oauth2/token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&client_id=你的ClientID&client_secret=你的ClientSecret&redirect_uri=你的回调地址&code=用户授权后的code

• 响应会包含access_token、refresh_token和过期时间，将这些与用户Discord ID绑定存储（比如用SQLite、MongoDB）

步骤3：调用Canvas API获取数据 #

用存储的access_token调用Canvas API，比如获取用户课程：

GET https://<canvas-install-url>/api/v1/courses
Authorization: Bearer 你的access_token

Bot可定期调用API获取作业更新推送给用户，或响应用户指令返回课程列表。

4. Postman测试的注意事项 #

• client_id填你创建的开发者密钥ID
• redirect_uri必须和Canvas开发者密钥中配置的完全一致
• state测试时可随便填一个字符串
• scope按需求填写对应的URL权限

内容的提问来源于stack exchange，提问作者rahul vikram