使用GitLab API无法获取Access Token问题求助

核心问题与修复步骤 #

1. 替换错误的Token请求端点

GitLab OAuth获取access token的正确接口是https://gitlab.com/oauth/token，你当前用的/oauth/redirect是授权流程的回调跳转地址，并非token接口。

2. 补全PKCE流程的code_verifier

因为你在授权请求中使用了PKCE（code_challenge + S256方法），所以在获取token时必须携带对应的code_verifier参数。需要在授权发起时生成并存储code_verifier和code_challenge，而不是硬写CODE_CHALLENGE。

3. 修正Axios POST参数传递方式

GitLab的token接口要求POST参数以application/x-www-form-urlencoded格式提交，Axios中需要将参数放在data字段，而非params，同时建议用qs库序列化参数。

4. 修复变量冲突与作用域问题

• 避免全局变量，用const声明变量；
• 避免重名的res变量，回调里改用其他命名比如response。

5. 增加State参数验证

必须验证回调返回的state和发起授权时的state一致，防止CSRF攻击。

修正后的完整代码示例 #

const axios = require('axios');
const qs = require('qs'); // 需要安装qs库：npm install qs
const crypto = require('crypto'); // 用于生成PKCE的verifier和challenge
const clientId = '4cf48a26d0c468c0c47c9ab73086d177f8618b269bc2500860672c5403c884f5';
const clientSecret = '5240e8a9fb9305ce31a57be8c05b71e101b0574358c45e7831e07ccc0a2df9aa';
const User = require('../models/user.model');

// 生成PKCE的code_verifier和code_challenge
function generatePKCEPair() {
  const codeVerifier = crypto.randomBytes(32).toString('base64url');
  const codeChallenge = crypto
    .createHash('sha256')
    .update(codeVerifier)
    .digest('base64url');
  return { codeVerifier, codeChallenge };
}

exports.gitlabauthorizationprocess = async (req, res) => {
  const redirectUri = "http://localhost:4000/api/gitlab-oauth-callback";
  const state = crypto.randomBytes(16).toString('hex'); // 用随机state更安全，不要硬写123
  const { codeVerifier, codeChallenge } = generatePKCEPair();

  // 将codeVerifier和state存储到session中，后续回调时使用
  req.session.codeVerifier = codeVerifier;
  req.session.oauthState = state;

  res.redirect(`https://gitlab.com/oauth/authorize?client_id=${clientId}&code_challenge=${codeChallenge}&code_challenge_method=S256&redirect_uri=${redirectUri}&response_type=code&scope=read_user+profile&state=${state}`);
};

exports.getgitlabauthorizationdetails = async (req, res) => {
  const { code, state } = req.query;
  const storedState = req.session.oauthState;
  const codeVerifier = req.session.codeVerifier;

  // 验证state是否一致
  if (state !== storedState) {
    return res.status(403).json({ message: 'Invalid state parameter' });
  }

  try {
    const response = await axios.post(
      'https://gitlab.com/oauth/token',
      qs.stringify({
        client_id: clientId,
        client_secret: clientSecret,
        grant_type: 'authorization_code',
        redirect_uri: 'http://localhost:4000/api/gitlab-oauth-callback',
        code: code,
        code_verifier: codeVerifier // 必须携带PKCE的verifier
      }),
      {
        headers: {
          'Content-Type': 'application/x-www-form-urlencoded'
        }
      }
    );

    const accessToken = response.data.access_token;
    console.log('My token:', accessToken);

    // 这里可以继续处理用户信息，比如调用GitLab用户接口
    // const userResponse = await axios.get('https://gitlab.com/api/v4/user', { headers: { Authorization: `Bearer ${accessToken}` } });
    // 然后存储到数据库等操作

    res.json({ access_token: accessToken });
  } catch (err) {
    console.error('Token获取失败:', err.response?.data || err.message);
    res.status(500).json({ message: err.response?.data?.error || err.message });
  }
};

额外注意事项 #

• 需要确保你的Node.js应用启用了session（比如用express-session），因为要存储codeVerifier和state；
• 安装依赖：npm install axios qs express-session；
• GitLab应用设置里的重定向URI必须和代码中的redirect_uri完全一致；
• 不要在生产环境硬编码clientId和clientSecret，建议用环境变量存储。

内容的提问来源于stack exchange，提问作者Hrishi Bhattacharya