OAuth流程中如何将用户对象返回给SPA应用的问题咨询

现有流程合理性判定 #

你采用的是带后端代理的OAuth 2.0授权码流程，完全符合公开客户端（SPA）的安全最佳实践，避免了access token直接暴露在浏览器环境的风险，流程设计没有逻辑问题，仅需补充state参数校验环节即可：后端构造authorize URL时生成随机不可预测的state值存储在当前会话中，auth provider回调时先校验返回的state与会话中存储的是否一致，再进行code兑换token的操作，避免CSRF攻击。

问题1：登录请求的HTTP方法选择 #

用GET方法即可。该请求的核心作用是触发后端生成授权地址重定向，不需要提交敏感数据，GET完全满足需求，甚至可以直接用HTML原生的<a href="/login">标签触发跳转，无需额外封装POST请求逻辑。如果需要携带自定义参数（比如登录后要回跳的SPA页面路径），直接附加在GET请求的query参数中，后端存储到会话或者绑定到state参数传递即可。

问题2：重定向场景下传递用户对象的成熟方案 #

有两种生产环境常用的实现方式，均不需要在重定向时直接传递明文用户数据：

方案1（更推荐，实现简单安全性高）：HttpOnly会话Cookie方案 #

• 后端兑换到token、构造完用户对象后，为当前用户生成会话ID，将用户信息加密后存储在后端缓存/数据库中，key为会话ID
• 给当前域名种属性为HttpOnly、Secure、SameSite=Lax的会话Cookie，Cookie值为加密后的会话ID：
  • HttpOnly属性禁止前端JS读取Cookie，可防范XSS攻击窃取会话
  • Secure属性限定Cookie仅在HTTPS环境下传输
  • SameSite属性防范CSRF攻击
• 直接重定向回SPA站点即可，SPA加载完成后向后端发起GET /api/user/me请求，浏览器会自动携带该会话Cookie，后端校验Cookie有效性后直接返回用户对象。

方案2：一次性凭证方案 #

如果你的前后端域名不同无法种Cookie，可以用该方案：

• 后端构造完用户对象后，生成一个有效期不超过10分钟、仅可消费一次的随机一次性凭证（例如tmp_token），将用户对象加密后存在后端缓存中，key为该凭证
• 重定向回SPA时将凭证附加在URL的hash部分（例如https://your-spa.com/#tmp_token=xxxxxxx，hash部分不会被发送到服务器，不会被日志记录，安全性更高）
• SPA加载后读取hash中的tmp_token，向后端发起POST /api/user/get_by_tmp_token请求传递该凭证，后端校验有效性后返回用户对象，同时立即删除缓存中的凭证，避免被复用。

内容的提问来源于stack exchange，提问作者cableload