如何在Elixir的Uberauth中为Shopify OAuth设置state参数

我之前也碰到过类似的困惑，其实给Überauth Shopify配置state参数来让Shopify接收并不复杂，咱们可以从静态配置和动态生成两种方式入手，兼顾安全性和灵活性：

方式一：静态配置（适合测试场景） #

如果只是做测试，你可以直接在Phoenix的配置文件（比如config/config.exs）里给Überauth Shopify策略添加state选项：

config :ueberauth, Ueberauth,
  providers: [
    shopify: {Ueberauth.Strategy.Shopify, [
      client_id: System.get_env("SHOPIFY_CLIENT_ID"),
      client_secret: System.get_env("SHOPIFY_CLIENT_SECRET"),
      state: "your_test_state_string" # 这里设置固定的state值
    ]}
  ]

不过这种固定值的方式不适合生产环境，因为state的核心作用就是防止CSRF攻击，固定值会失去这个安全防护的意义。

方式二：动态生成随机state（生产环境推荐） #

生产环境下，必须每次授权请求都生成唯一的随机state，同时存入session，后续回调时验证一致性：

1. 在授权请求控制器中生成并传递state #

在你的Auth控制器里，添加发起授权请求的方法，生成随机state并存入session：

defmodule YourAppWeb.AuthController do
  use YourAppWeb, :controller

  def request(conn, _params) do
    # 生成URL安全的随机state
    state = :crypto.strong_rand_bytes(16) |> Base.url_encode64(padding: false)
    # 把state存入session，用于后续回调验证
    conn = put_session(conn, :shopify_auth_state, state)
    # 重定向到Überauth的Shopify授权路径，带上state参数
    redirect(conn, to: Routes.ueberauth_path(conn, :request, :shopify, state: state))
  end
end

2. 在回调控制器中验证state #

当Shopify回调你的应用时，一定要验证返回的state和session中存储的是否一致：

def callback(conn, %{"state" => returned_state}) do
  stored_state = get_session(conn, :shopify_auth_state)

  if returned_state == stored_state do
    # state验证通过，继续处理Shopify的授权响应
    conn = clear_session(conn, :shopify_auth_state) # 验证后清除session中的state
    # 这里可以调用Überauth的处理逻辑，比如获取用户信息等
    # ...
  else
    # state不匹配，拒绝请求，防止CSRF攻击
    conn
    |> put_flash(:error, "Invalid authentication state.")
    |> redirect(to: Routes.page_path(conn, :index))
  end
end

额外说明 #

你查看的Überauth Shopify源码里确实会把传入的state参数拼接在授权URL里发送给Shopify，所以只要你按上面的方式传入state，Shopify就能正常接收并在回调时返回它。另外要注意，state参数必须是URL安全的字符串，用Base.url_encode64处理随机字节是比较稳妥的方式。

内容的提问来源于stack exchange，提问作者kritik