Node.js passport-apple登录报错：无法获取access token求助

核心错误：策略回调函数参数顺序错误 #

你在Apple策略中设置了passReqToCallback: true，但回调函数的参数顺序未对应调整。当passReqToCallback为true时，第一个参数必须是req对象，后续才是accessToken、refreshToken等参数。错误的参数顺序会导致passport无法正确解析Apple返回的令牌信息，直接引发“Failed to obtain access token”错误。

修正后的策略回调函数：

async (req, accessToken, refreshToken, idToken, profile, done) => {
  try {
    console.log('jwt', jwt.decode(idToken));
    console.log('strategy', req);
    done(null, idToken);
  } catch (error) {
    console.error(error);
    done(error); // 必须调用done传递错误，否则passport会挂起请求
  }
}

移除重复的私钥配置 #

你的Apple策略同时配置了privateKeyLocation和privateKeyString，这两个选项是互斥的（二选一即可）。同时设置会导致passport-apple无法正确读取私钥，进而无法完成令牌验证。

保留其中一个配置项即可，比如使用配置文件中的密钥字符串：

new AppleStrategy(
  {
    clientID: APPLE_AUTH.CLIENT_ID,
    teamID: APPLE_AUTH.TEAM_ID,
    callbackURL: APPLE_AUTH.LOGIN_CALLBACK_URL,
    keyID: APPLE_AUTH.KEY_ID,
    // 移除privateKeyLocation，保留privateKeyString
    privateKeyString: APPLE_AUTH.privateKey,
    passReqToCallback: true,
  },
  // ... 回调函数
)

关于POST方法的疑问 #

Apple要求使用form_post作为response_mode，原因如下：

• Apple返回的id_token是JWT格式，内容较长，使用GET请求会超出URL长度限制；
• POST请求更安全，能避免敏感信息暴露在URL中。
  这是Apple OAuth2规范的强制要求，并非passport的限制，你当前的配置（response_mode: 'form_post'+POST回调路由）是正确的。

策略冲突排查 #

你怀疑passport.authenticate('apple')调用了Google的处理函数，可通过以下方式验证：
在策略注册完成后，打印passport的策略列表，确认apple策略唯一：

// 在认证策略入口index.js中添加
console.log(passport._strategies);

如果apple键对应的是AppleStrategy实例，则说明策略注册正常，不存在冲突。

其他优化建议 #

1. 添加CSRF防护：取消注释state参数，生成随机字符串并存入session，回调时验证该值，防止CSRF攻击：

// 生成跳转URL的路由中
const crypto = require('crypto');
const state = crypto.randomBytes(16).toString('hex');
req.session.appleState = state;
const config = {
  // ... 其他配置
  state: state,
};

在回调路由中验证：

ROUTER.post('/apple/callback', (req, res, next) => {
  if (req.body.state !== req.session.appleState) {
    return res.status(403).send('Invalid state');
  }
  next();
}, passport.authenticate('apple', { failureRedirect: '/', session: false }), async (req, res) => {
  // ... 后续逻辑
});

2. 前端回调处理：web端新窗口完成认证后，需要关闭窗口并通知父窗口。可在回调路由中返回一个HTML页面，通过JS完成操作：

async (req, res) => {
  res.send(`
    <script>
      window.opener.postMessage('apple-login-success', window.location.origin);
      window.close();
    </script>
  `);
}

然后在前端监听message事件，处理登录成功逻辑。

内容的提问来源于stack exchange，提问作者Taehwi Lee