Passport.js OAuth登录（谷歌、脸书等）重定向时如何存储状态？

最优方案：利用OAuth2的state参数传递状态 #

OAuth2规范中的state参数原本用于防范CSRF攻击，同时也能安全传递自定义状态信息——第三方平台会在重定向回你的回调URL时，原封不动返回这个参数，完全不依赖Cookie会话，完美解决你担心的第三方不保留Cookie的问题。

实现步骤 #

1. 发起登录时生成并编码状态
   在跳转到第三方登录的路由中，把需要保留的状态（比如登录前的跳转目标、临时用户偏好）序列化后编码，结合CSRF token防止篡改，作为state参数传给Passport的认证方法：

const crypto = require('crypto');

app.get("/login/google", (req, res, next) => {
  // 要保留的自定义状态（示例：用户原本要访问的页面、临时偏好）
  const customState = {
    redirectTo: req.query.redirectTo || '/dashboard',
    tempTheme: req.query.theme || 'light'
  };

  // 生成CSRF token用于后续验证（防止state被篡改）
  const csrfToken = crypto.randomBytes(16).toString('hex');
  // 把CSRF token存到会话，回调时验证用
  req.session.googleAuthCsrf = csrfToken;

  // 将自定义状态和CSRF token一起编码为base64
  const state = Buffer.from(JSON.stringify({
    csrf: csrfToken,
    data: customState
  })).toString('base64');

  // 调用Passport认证，传入state参数
  passport.authenticate("google", { 
    state,
    scope: ['profile', 'email'] // 根据业务需求设置权限
  })(req, res, next);
});

2. 回调时解析并验证状态
   在登录成功的回调路由中，从req.query.state取出参数，解码后验证CSRF token，再获取之前保存的状态信息：

app.get("/login/success", (req, res, next) => {
  passport.authenticate("google", (err, user, info) => {
    if (err) return next(err);
    if (!user) return res.redirect('/login');

    // 取出第三方返回的state参数
    const state = req.query.state;
    if (!state) {
      return res.redirect('/');
    }

    try {
      // 解码state内容
      const decodedState = JSON.parse(Buffer.from(state, 'base64').toString());
      // 验证CSRF token，防止参数被篡改
      if (decodedState.csrf !== req.session.googleAuthCsrf) {
        return res.status(403).send('无效的状态参数');
      }

      // 获取之前保存的自定义状态
      const savedState = decodedState.data;
      // 清理会话中的CSRF token
      delete req.session.googleAuthCsrf;

      // 完成登录流程
      req.login(user, (loginErr) => {
        if (loginErr) return next(loginErr);
        // 使用保存的状态，比如跳转到用户原本要访问的页面
        res.redirect(savedState.redirectTo);
      });
    } catch (parseErr) {
      res.status(400).send('状态参数格式错误');
    }
  })(req, res, next);
});

方案优势 #

• 不依赖Cookie：状态通过URL参数传递，第三方平台会原封不动返回，不受浏览器Cookie策略（如隐私模式、跨域Cookie限制）影响。
• 安全性高：通过CSRF token验证可防止state参数被篡改，符合OAuth2安全规范。
• 标准兼容：state是OAuth2的标准字段，所有合规的第三方登录平台都会支持。

补充说明 #

如果仅需防范CSRF，Passport默认会自动生成state参数并处理验证；但要传递自定义状态，就需要手动生成和解析state，如上述示例。

内容的提问来源于stack exchange，提问作者DaveW