GitHub OAuth应用：access_token验证与过期问题咨询

核心需求 #

• 需要验证GitHub OAuth返回的access_token有效性，为Node.js API添加安全防护，确保仅持有有效token的用户可调用接口
• 实现登出时让token过期，解决默认token永不过期的安全隐患

现有获取Access Token的代码 #

const params = "?client_id="+CLIENT_ID+"&client_secret="+ CLIENT_SECRET +"&code="+req.query.code;
await fetch("https://github.com/login/oauth/access_token"+params,{
    method: "POST",
    headers:{
        "Accept": "application/json"
    }
}).then((response) => {        
    return response.json();
}).then((data)=> {        
    res.json(data);
});

已尝试的方法与问题 #

1. 调用用户仓库接口验证：
   使用命令curl -H 'Authorization: token myGitHubAccessToken' https://api.github.com/user/repos可返回数据，但存在缺陷：GitHub默认返回的access_token永不过期，旧token仍能正常使用，带来安全风险。
2. 官方验证/撤销token接口调用失败：
   尝试官方文档中的撤销token接口时返回"Bad Data"错误，原命令如下：

   curl \
     -X DELETE \
     -H "Accept: application/vnd.github+json" \
     -H "Authorization: Bearer <YOUR-TOKEN>"\
     -H "X-GitHub-Api-Version: 2022-11-28" \
     https://api.github.com/applications/Iv1.8a61f9b3a7aba766/token \
     -d '{"access_token":"e72e16c7e42f292c6912e7710c838347ae178b4a"}'
   

解决方案 #

1. 正确验证Access Token的端点 #

GitHub提供了专门的OAuth token验证端点，需使用Basic Auth（将Client ID和Client Secret作为用户名和密码进行Base64编码）发送GET请求：
https://api.github.com/applications/{CLIENT_ID}/tokens/{ACCESS_TOKEN}

示例Node.js验证代码：

async function verifyToken(accessToken) {
  const auth = Buffer.from(`${CLIENT_ID}:${CLIENT_SECRET}`).toString('base64');
  try {
    const response = await fetch(`https://api.github.com/applications/${CLIENT_ID}/tokens/${accessToken}`, {
      method: 'GET',
      headers: {
        'Accept': 'application/vnd.github+json',
        'Authorization': `Basic ${auth}`,
        'X-GitHub-Api-Version': '2022-11-28'
      }
    });
    if (response.ok) {
      const data = await response.json();
      return { valid: true, data }; // token有效，返回关联用户信息
    } else {
      return { valid: false }; // token无效或已过期
    }
  } catch (error) {
    console.error('Token verification failed:', error);
    return { valid: false };
  }
}

可在每个Node API接口的开头调用此函数，仅当验证通过时继续处理请求。

2. 实现登出时撤销Token #

要在用户登出时让token失效，使用同一端点发送DELETE请求，同样需要Basic Auth：
示例Node.js撤销代码：

async function revokeToken(accessToken) {
  const auth = Buffer.from(`${CLIENT_ID}:${CLIENT_SECRET}`).toString('base64');
  try {
    const response = await fetch(`https://api.github.com/applications/${CLIENT_ID}/tokens/${accessToken}`, {
      method: 'DELETE',
      headers: {
        'Accept': 'application/vnd.github+json',
        'Authorization': `Basic ${auth}`,
        'X-GitHub-Api-Version': '2022-11-28'
      }
    });
    return response.ok; // 返回true表示撤销成功
  } catch (error) {
    console.error('Token revocation failed:', error);
    return false;
  }
}

注：之前调用失败的原因是误用了Bearer <YOUR-TOKEN>认证方式，该接口要求使用Basic Auth而非Bearer token。

3. 额外安全建议 #

• 存储用户token时进行加密，避免明文存储
• 为API接口添加频率限制，防止暴力破解
• 考虑使用短期token+refresh token模式：授权时请求offline_access scope获取refresh token，定期用它刷新access token，降低长期有效token的风险

内容的提问来源于stack exchange，提问作者madmax821