Intuit OAuth授权流程疑问：如何提取授权码并兑换token？

1. 调整授权请求接口逻辑，替代当前纯返回URL的写法 #

你当前的接口仅返回授权地址，实际使用时可以直接通过重定向跳过手动复制地址的步骤，调整后代码如下：

app.get("/authUri", urlencodedParser, (req, res) => {
  const oauthClient = new OAuthClient({
    clientId: process.env.QUICKBOOKS_CLIENT_ID, // 后续生产环境建议改读环境变量，不要硬编码
    clientSecret: process.env.QUICKBOOKS_CLIENT_SECRET,
    environment: "sandbox",
    redirectUri: "http://localhost:8000/callback",
  });

  const authUri = oauthClient.authorizeUri({
    scope: [OAuthClient.scopes.Accounting],
    state: "intuit-test", // 生产环境建议生成随机字符串存入session，回调时校验防CSRF
  });
  res.redirect(authUri); // 直接重定向到QuickBooks授权页，无需单独返回地址
});

2. 补全回调接口的缺失逻辑 #

你当前的回调接口仅做了token获取，还需要补充存储、跳转逻辑，调整后代码如下：

app.get('/callback', async function(req, res) {
  try {
    // 生产环境可在此处校验返回的state参数与发起授权时的参数是否一致，避免CSRF攻击
    const authResponse = await oauthClient.createToken(req.url);
    const tokenInfo = authResponse.getJson();
    // 此处需将tokenInfo与当前登录用户绑定存入数据库/缓存，不要存在全局变量中
    console.log('token获取成功', tokenInfo);
    // 授权完成后重定向回你的React前端页面，比如工作台、授权成功提示页
    res.redirect('http://localhost:3000/dashboard');
  } catch (e) {
    console.error('授权失败', e);
    res.redirect('http://localhost:3000/auth-fail');
  }
});

3. 前端侧简单适配 #

无需开发复杂UI，只需要在你的React应用中加一个「连接QuickBooks」的按钮，按钮点击直接跳转至后端的/authUri接口即可。

4. 完整测试流程 #

• 启动Node后端服务，确保8000端口正常监听
• 点击前端的连接按钮（或直接访问http://localhost:8000/authUri），会自动跳转至QuickBooks沙箱登录授权页
• 使用你的沙箱测试账号登录，点击同意授权
• 页面会自动跳转回你配置的回调地址，后端自动完成授权码换token的操作
• 拿到token之后即可调用QuickBooks的各类业务接口

注意事项 #

• access token有效期仅1小时，需要提前用refresh token刷新，不要等到过期后再处理
• 沙箱环境和生产环境的clientId、clientSecret、域名配置要分开，不要混用
• 生产环境所有密钥必须存在环境变量中，禁止硬编码在代码里提交

内容的提问来源于stack exchange，提问作者Josh Simon