使用oauth2-mock-server测试OAuth2时无法返回profile对象问题

问题描述 #

• 本地测试OAuth2 passport认证流程，使用oauth2-mock-server搭建mock授权服务
• 预期目标：OAuth2Strategy校验回调中拿到结构化的profile对象，可直接读取属性
• 实际问题：回调中拿到的profile始终为字符串类型，无法正常解析使用

原有问题代码 #

Mock服务端配置 #

const { OAuth2Server } = require("oauth2-mock-server");
const request = require("request");

async function startServer() {
  let server = new OAuth2Server();
  await server.issuer.keys.generate("RS256");
  await server.start(3003, "localhost");

  server.service.once("beforeResponse", (tokenEndpointResponse, req) => {
    console.log("tokenEndpointResponse = ", tokenEndpointResponse);
    tokenEndpointResponse.body = {
      ...tokenEndpointResponse.body,
      scope: { profile: { id: "xxx" } },
    };
  });

  server.service.once(
    "beforeAuthorizeRedirect",
    (authorizeRedirectUri, req) => {
      console.log("THIS WAS TRIGGERED >>>> = ", authorizeRedirectUri);
    }
  );
}
startServer();

Passport客户端策略配置 #

const strategy = new OAuth2Strategy(
  {
    state: true,
    authorizationURL: `${process.env.MOCK_AUTH_SERVER_URL}/authorize`,
    tokenURL: `${process.env.MOCK_AUTH_SERVER_URL}/token`,
    clientID: "xxx",
    clientSecret: "xxx",
    callbackURL: `${process.env.SERVER_URL}/callback`,
    passReqToCallback: true,
  },
  async (accessToken, refershToken, profile, done) => {
    console.log("profile = ", profile);
    if (profile) {
      return done(null, profile);
    }
}
);

核心问题原因 #

• 字段放置错误：OAuth2协议规定token响应的scope字段是空格分隔的权限范围字符串，不支持嵌套对象，把profile对象塞进这个字段会被直接序列化成[object Object]字符串，自然无法解析成对象
• 策略策略逻辑理解错误：passport-oauth2默认不会自动从token响应体提取自定义字段当profile，默认逻辑是拿到access_token后，请求配置的用户信息端点拉取profile；未配置用户信息端点时，verify回调的第三个参数是token接口返回的完整参数集合，不是解析好的profile
• 字段命名误导：把第三个参数直接命名为profile，误以为框架会自动注入结构化用户信息，实际拿到的是未经过解析的原始响应参数

可落地配置方案 #

方案1：遵循OAuth2规范，通过用户信息端点返回（推荐） #

这个方案和生产环境逻辑一致，适配性最好。
首先修改mock服务端，新增用户信息接口，不要修改scope字段：

const { OAuth2Server } = require("oauth2-mock-server");
const request = require("request");

async function startServer() {
  let server = new OAuth2Server();
  await server.issuer.keys.generate("RS256");
  await server.start(3003, "localhost");

  // 新增userinfo接口，携带有效access_token访问时返回结构化用户信息
  server.app.get("/userinfo", (req, res) => {
    const authHeader = req.headers.authorization;
    if (!authHeader?.startsWith("Bearer ")) {
      return res.sendStatus(401);
    }
    // mock场景可省略token校验逻辑，直接返回结构化profile
    res.json({
      id: "xxx",
      username: "test_user",
      email: "test@example.com"
    });
  });
}
startServer();

然后修改客户端策略配置，添加用户信息端点地址和自定义解析逻辑：

const strategy = new OAuth2Strategy(
  {
    state: true,
    authorizationURL: `${process.env.MOCK_AUTH_SERVER_URL}/authorize`,
    tokenURL: `${process.env.MOCK_AUTH_SERVER_URL}/token`,
    userProfileURL: `${process.env.MOCK_AUTH_SERVER_URL}/userinfo`, // 新增用户信息端点配置
    clientID: "xxx",
    clientSecret: "xxx",
    callbackURL: `${process.env.SERVER_URL}/callback`,
    passReqToCallback: true,
    // 自定义profile解析逻辑
    userProfile: (accessToken, done) => {
      request.get({
        url: `${process.env.MOCK_AUTH_SERVER_URL}/userinfo`,
        auth: { bearer: accessToken },
        json: true
      }, (err, res, body) => {
        if (err) return done(err);
        // 直接返回接口拿到的结构化对象
        done(null, body);
      });
    }
  },
  async (req, accessToken, refreshToken, profile, done) => {
    console.log("结构化profile：", profile); 
    // 此处输出为 {id: "xxx", username: "test_user", email: "test@example.com"}，可直接读取属性
    return done(null, profile);
  }
);

方案2：快速mock，直接从token响应返回（适合本地调试） #

如果不想额外加接口，可以直接把profile放在token响应的顶级自定义字段，直接从响应参数中读取。
首先修改mock服务端的响应逻辑，不要把profile塞进scope：

server.service.once("beforeResponse", (tokenEndpointResponse, req) => {
  tokenEndpointResponse.body = {
    ...tokenEndpointResponse.body,
    // 自定义顶级字段存放profile，不要占用协议标准字段
    profile: { id: "xxx", username: "test_user" }
  };
});

然后修改客户端策略的verify回调，直接从响应参数中读取profile：

const strategy = new OAuth2Strategy(
  {
    state: true,
    authorizationURL: `${process.env.MOCK_AUTH_SERVER_URL}/authorize`,
    tokenURL: `${process.env.MOCK_AUTH_SERVER_URL}/token`,
    clientID: "xxx",
    clientSecret: "xxx",
    callbackURL: `${process.env.SERVER_URL}/callback`,
    passReqToCallback: true,
  },
  // 注意：未配置userProfileURL时，第三个参数是token接口返回的完整参数集合，不是自动解析的profile
  async (req, accessToken, refreshToken, tokenParams, done) => {
    const profile = tokenParams.profile;
    console.log("结构化profile：", profile);
    // 此处输出为 {id: "xxx", username: "test_user"}，为结构化对象
    return done(null, profile);
  }
);

注意：不要把自定义嵌套对象塞进scope、token_type、expires_in这类OAuth2协议规定的标准字段，这类字段有固定格式要求，嵌套对象会被序列化成字符串，导致解析失败。

内容的提问来源于stack exchange，提问作者me-me