基于oidc-provider实现邮箱OTP授权码流的可行性咨询

完全可以用oidc-provider实现你的需求，客户端凭证流是库原生支持的，授权码流的邮箱OTP验证则可以通过自定义交互流程实现。

你当前流程的问题说明 #

你看到的重定向到/interaction/:uid是oidc-provider的标准交互机制——库默认要求完成用户身份验证/授权环节后才会生成授权码。你现在只是返回了交互详情，没有实现实际的OTP验证逻辑，所以自然不会得到授权码。

具体实现方案 #

1. 开启客户端凭证流 #

在你的客户端配置中，只需将client_credentials添加到grant_types数组即可，这是库原生支持的流程，无需额外开发：

clients: [{
  // ... 现有配置
  grant_types: ['authorization_code', 'refresh_token', 'client_credentials'],
  // ... 其他配置
}]

使用时直接向/oidc/token端点发起POST请求，携带参数grant_type=client_credentials、client_id和client_secret即可获取access token。

2. 实现授权码流的邮箱OTP验证 #

需要修改/interaction/:id端点的逻辑，完成「发送OTP→用户输入验证→生成授权码」的流程：

const { Provider } = require('oidc-provider');
const express = require('express');
const cors = require('cors')
const bodyParser = require('body-parser'); // 新增解析表单数据

const PORT = 3000;
const app = express();

const oidcPrefix = '/oidc';

app.use(cors());
app.use(bodyParser.urlencoded({ extended: true })); // 新增解析POST表单

const oidc = new Provider('http://localhost:3000', {
  // ... 你的现有配置
  clients: [{
    client_id: 'foo',
    client_secret: 'bar',
    allowOmittingSingleRegisteredRedirectUri: true,
    redirect_uris: ['https://oauthdebugger.com/debug'],
    rotateRefreshToken: true,
    pkce: {
      required: true
    },
    grant_types: ['authorization_code', 'refresh_token', 'client_credentials'], // 新增client_credentials
    response_types: ['code'],
    token_endpoint_auth_method: "client_secret_basic"
  }],
  // ... 其他配置
});

// 替换原有的/interaction端点：展示OTP输入页并发送OTP
app.get(`${oidcPrefix}/interaction/:id`, async (req, res) => {
  const details = await oidc.interactionDetails(req, res);
  
  // 实际场景中需先收集用户邮箱，这里示例直接使用固定邮箱
  const userEmail = 'user@example.com';
  const otp = generateOTP();
  sendEmail(userEmail, otp);

  // 存储OTP用于后续验证（实际项目建议用Redis等临时存储，带过期时间）
  global.otpStore = { [details.uid]: otp };

  // 返回OTP输入表单
  res.send(`
    <html>
      <body>
        <p>OTP已发送到你的邮箱，请输入：</p>
        <form method="POST" action="${oidcPrefix}/verify-otp/${details.uid}">
          <input type="text" name="otp" placeholder="6位数字OTP" required>
          <button type="submit">验证并授权</button>
        </form>
      </body>
    </html>
  `);
});

// 新增OTP验证端点
app.post(`${oidcPrefix}/verify-otp/:id`, async (req, res) => {
  const { otp } = req.body;
  const details = await oidc.interactionDetails(req, res);

  // 验证OTP
  if (global.otpStore[details.uid] === otp) {
    // 验证通过，完成交互，生成授权码
    const result = {
      login: {
        accountId: 'user_123', // 替换为你的用户唯一标识
      },
    };
    await oidc.interactionFinished(req, res, result, { mergeWithLastSubmission: false });
  } else {
    res.send(`
      <html>
        <body>
          <p style="color:red">OTP验证失败，请重试</p>
          <form method="POST" action="${oidcPrefix}/verify-otp/${details.uid}">
            <input type="text" name="otp" placeholder="6位数字OTP" required>
            <button type="submit">验证并授权</button>
          </form>
        </body>
      </html>
    `);
  }
});

// 辅助函数：生成6位OTP
function generateOTP() {
  return Math.floor(100000 + Math.random() * 900000).toString();
}

// 辅助函数：发送邮箱OTP（实际项目需集成nodemailer等邮箱服务）
function sendEmail(email, otp) {
  console.log(`已向${email}发送OTP：${otp}`);
}

app.use(oidcPrefix, oidc.callback());

app.listen(PORT, () => {
  console.log(`OAUTH Server listening on ${PORT}`);
})

替代库推荐 #

如果你需要更轻量化的选择，oauth2-server（node-oauth2-server）是持续维护的Node.js OAuth2实现，支持自定义授权逻辑，灵活性较高。

内容的提问来源于stack exchange，提问作者Radoslav Naidenov