OAuth流程下已认证用户的Spotify API调用疑问：如何获取access_token调用播放列表接口？

嘿，我来帮你理清这两个关于Spotify API和Passport.js的问题！

一、在/playlists路由中获取access_token并调用API #

你当前的代码里，req.user只有用户的基本信息（来自profile），因为你的Passport verify回调只返回了profile。要获取access_token，需要先把它和用户数据绑定并持久化存储，之后在路由里从用户对象中取出使用。

步骤1：修改Passport的verify回调，存储token信息 #

Passport-Spotify会把accessToken、refreshToken和过期时间expires_in传递给verify回调，你需要把这些信息和用户记录存在一起（比如数据库）：

function(accessToken, refreshToken, expires_in, profile, done) { 
  process.nextTick(async function(){ 
    // 假设你用Mongoose操作MongoDB，可根据自身数据库类型调整
    let user = await User.findOne({ spotifyId: profile.id });
    
    if (user) {
      // 若用户存在，更新token和过期时间
      user.accessToken = accessToken;
      user.refreshToken = refreshToken;
      user.expiresAt = Date.now() + (expires_in * 1000); // 转换为毫秒时间戳
      await user.save();
    } else {
      // 创建新用户，保存基础信息和token
      user = new User({
        spotifyId: profile.id,
        displayName: profile.displayName,
        accessToken: accessToken,
        refreshToken: refreshToken,
        expiresAt: Date.now() + (expires_in * 1000)
      });
      await user.save();
    }
    
    return done(null, user); // 返回包含token的用户对象，req.user会包含这些字段
  }) 
}

步骤2：在/playlists路由中使用token调用API #

现在req.user里已经有accessToken了，你可以用它来请求Spotify的播放列表API：

const axios = require('axios'); // 先安装依赖：npm install axios

app.get('/playlists', ensureAuth, async(req,res,next) => { 
  try {
    const { accessToken, spotifyId } = req.user;
    const playlistsUrl = `https://api.spotify.com/v1/users/${spotifyId}/playlists`;

    // 发起API请求
    const response = await axios.get(playlistsUrl, {
      headers: {
        'Authorization': `Bearer ${accessToken}`
      }
    });

    // 把播放列表数据传给模板渲染
    res.render('playlists', { playlists: response.data.items });
  } catch (error) {
    console.error('获取播放列表出错:', error);
    next(error);
  }
})

二、为什么直接返回profile存储token不是最佳实践？ #

你之前的代码只返回了profile，存在几个核心问题：

• 无持久化存储：服务器重启或用户退出重登后，token会丢失，无法再发起API调用。
• session存储风险：如果用Express Session，token存在session里可能遭遇劫持风险，且session存储通常有大小限制。
• 无法处理token过期：Spotify的access_token默认1小时过期，没有refreshToken的话，用户需要频繁重新登录。

正确的做法： #

1. 把token存在数据库：和用户记录绑定，随时可以获取和更新。
2. 自动处理token过期：用refreshToken自动获取新的accessToken，无需用户重新登录。

补充：自动刷新过期token的实现 #

可以写一个工具函数来刷新token，然后在API调用前检查token是否过期：

async function refreshSpotifyToken(user) {
  const clientId = process.env.SPOTIFY_CLIENT_ID;
  const clientSecret = process.env.SPOTIFY_CLIENT_SECRET;

  const response = await axios.post('https://accounts.spotify.com/api/token', null, {
    params: {
      grant_type: 'refresh_token',
      refresh_token: user.refreshToken,
      client_id: clientId,
      client_secret: clientSecret
    }
  });

  const { access_token, expires_in } = response.data;
  // 更新用户的token和过期时间
  user.accessToken = access_token;
  user.expiresAt = Date.now() + (expires_in * 1000);
  await user.save();
  
  return access_token;
}

然后修改/playlists路由，增加过期检查：

app.get('/playlists', ensureAuth, async(req,res,next) => { 
  try {
    let { accessToken, spotifyId, expiresAt } = req.user;

    // 检查token是否过期，过期则自动刷新
    if (Date.now() >= expiresAt) {
      accessToken = await refreshSpotifyToken(req.user);
    }

    const playlistsUrl = `https://api.spotify.com/v1/users/${spotifyId}/playlists`;
    const response = await axios.get(playlistsUrl, {
      headers: {
        'Authorization': `Bearer ${accessToken}`
      }
    });

    res.render('playlists', { playlists: response.data.items });
  } catch (error) {
    console.error('获取播放列表出错:', error);
    next(error);
  }
})

这样就能自动处理token过期的情况，避免用户频繁重新登录，提升体验。

内容的提问来源于stack exchange，提问作者user7355155