如何在无状态REST API中使用OAuth？Node/Express无状态OAuth实现方法

核心思路 #

放弃传统的会话（session）存储机制，改用**令牌（Token）**传递用户身份信息，主流方案是JWT（JSON Web Token）。OAuth授权流程完成后，服务器生成包含用户信息的JWT返回给客户端；后续客户端每次请求API时，在请求头中携带该令牌，服务器仅通过验证令牌的有效性来确认身份，完全不依赖会话存储，实现无状态特性。

具体实现步骤 #

1. 移除会话相关依赖与配置 #

如果之前使用了express-session或Passport的会话支持，直接删除相关代码：

// 删除这类会话配置
// app.use(session({ secret: 'your-secret', resave: false, saveUninitialized: false }));
// app.use(passport.session());

2. 配置Passport OAuth策略并生成JWT #

以GitHub OAuth为例，调整策略回调逻辑，跳过会话序列化，直接生成JWT返回给客户端。

先安装依赖：

npm install passport passport-github2 jsonwebtoken

然后编写策略配置：

const passport = require('passport');
const GitHubStrategy = require('passport-github2').Strategy;
const jwt = require('jsonwebtoken');
const JWT_SECRET = process.env.JWT_SECRET || 'your-strong-random-secret';

passport.use(new GitHubStrategy({
    clientID: 'YOUR_GITHUB_CLIENT_ID',
    clientSecret: 'YOUR_GITHUB_CLIENT_SECRET',
    callbackURL: 'http://localhost:3000/auth/github/callback'
  },
  function(accessToken, refreshToken, profile, done) {
    // 这里可根据OAuth返回的profile查询/创建本地用户
    const user = {
      id: profile.id,
      username: profile.username,
      email: profile.emails?.[0]?.value
    };
    // 生成JWT，设置过期时间（示例为1小时）
    const token = jwt.sign(user, JWT_SECRET, { expiresIn: '1h' });
    // 将令牌和用户信息传递给回调路由
    return done(null, { token, user });
  }
));

// 无需序列化/反序列化用户到会话，直接删除这两个方法
// passport.serializeUser(...);
// passport.deserializeUser(...);

3. 处理OAuth回调，返回令牌给客户端 #

在回调路由中，直接将JWT以JSON形式返回，或重定向到前端并携带令牌：

app.get('/auth/github/callback', 
  passport.authenticate('github', { failureRedirect: '/login' }),
  function(req, res) {
    // 返回JSON格式的令牌与用户信息（适合纯API场景）
    res.json({
      token: req.user.token,
      user: req.user.user
    });

    // 如果是前后端分离场景，也可重定向到前端并携带令牌（需前端处理存储）
    // res.redirect(`http://your-frontend-domain?token=${req.user.token}`);
  }
);

4. 编写JWT验证中间件，保护API路由 #

创建中间件验证请求头中的令牌，通过后将用户信息挂载到req.user：

const authenticateJWT = (req, res, next) => {
  const authHeader = req.headers.authorization;
  if (authHeader) {
    const token = authHeader.split(' ')[1]; // 提取Bearer后的令牌内容
    jwt.verify(token, JWT_SECRET, (err, user) => {
      if (err) {
        return res.sendStatus(403); // 令牌无效或过期
      }
      req.user = user;
      next();
    });
  } else {
    res.sendStatus(401); // 未提供授权令牌
  }
};

// 使用中间件保护需要授权的API
app.get('/api/protected', authenticateJWT, (req, res) => {
  res.json({ 
    message: '这是受保护的API接口', 
    currentUser: req.user 
  });
});

5. 客户端请求处理 #

客户端拿到JWT后，每次请求API时在请求头中携带令牌：

// 前端Axios示例
axios.get('/api/protected', {
  headers: {
    'Authorization': `Bearer ${localStorage.getItem('authToken')}`
  }
});

关键注意事项 #

• 令牌安全：JWT签名密钥必须足够复杂，且通过环境变量存储，禁止硬编码到代码中。
• 过期机制：设置合理的令牌过期时间，同时可实现刷新令牌流程，避免用户频繁重新授权。
• HTTPS强制：生产环境必须使用HTTPS，防止令牌在传输过程中被窃取。
• OAuth模式选择：纯API场景优先使用OAuth 2.0的授权码模式+PKCE，提升安全性；内部服务可考虑客户端凭证模式。

内容的提问来源于stack exchange，提问作者Elbek