Angular 4应用获Google Token后无法访问Hyperledger Composer REST API求解

我之前帮团队搭建过Hyperledger Composer REST服务结合Google OAuth的场景，碰到过几乎一模一样的问题，给你几个核心排查方向和解决方案：

本地localhost:3000能正常跑，很大概率是因为浏览器对同源请求限制宽松，但线上环境跨域请求的CORS规则没配置对：

• 启动Composer REST服务器时，必须显式指定允许的前端域名，比如：

  composer-rest-server -c admin@your-network -n never -w true --cors-origin https://your-angular-app.com
  

  测试阶段可以临时用--cors-origin "*"，但生产环境绝对不要这么做，会有安全风险。
• 同时，Angular的HTTP请求要确保开启withCredentials，比如：

  this.http.get('https://your-rest-api.com/api/...', { withCredentials: true })
  

  如果是手动携带Token，要在请求头里加上Authorization: Bearer <你的Google Token>。

别以为本地配置对了线上就没问题，Google开发者控制台里这两个地方必须更新：

• 已授权的回调URL：本地是http://localhost:3000/auth/google/callback，线上要改成你的REST服务器域名对应的地址，比如https://your-rest-server.com/auth/google/callback。
• 已授权的JavaScript来源：必须添加你的Angular应用域名和REST服务器域名，不然浏览器会直接阻止Token的跨域传递。

本地运行时REST服务器可能自动处理了Session，但线上要明确Token的传递方式：

• 如果是用Cookie传递，要确保Cookie的Secure和SameSite属性配置正确：HTTPS环境下Cookie必须设为Secure，跨域场景下SameSite要设为None。
• Postman测试时，手动在请求头里加Authorization: Bearer <你的Google Token>，同时开启“Automatically follow redirects”选项，因为OAuth流程可能有跳转。
• 还要确认你的Google Token是有效的JWT，包含REST服务器需要的Claims（比如sub、email），可以用JWT解码工具验证一下。

就算Token验证通过，也可能因为权限问题被拒绝：

• 检查你的.acl文件，确保允许认证用户访问资源，比如：

  rule AllowAuthenticatedAccess {
      description: "Allow authenticated users to access resources"
      participant: "org.hyperledger.composer.system.NetworkParticipant"
      operation: ALL
      resource: "**"
      action: ALLOW
  }
  

• 另外，要确保Google登录后的用户被正确映射到Composer的参与者身份，可能需要在Passport的回调函数里编写逻辑，创建或关联对应的Participant记录。

如果线上用了HTTPS，还有两个坑要避：

• 不要混合HTTP和HTTPS请求，浏览器会阻止Secure Cookie的传递，确保Angular应用和REST服务器都用HTTPS。
• 检查REST服务器的Passport配置，确保Cookie的属性正确设置，比如在自定义Passport策略里：

  passport.use(new GoogleStrategy({
      clientID: process.env.GOOGLE_CLIENT_ID,
      clientSecret: process.env.GOOGLE_CLIENT_SECRET,
      callbackURL: "https://your-rest-server.com/auth/google/callback",
      passReqToCallback: true
  }, function(req, accessToken, refreshToken, profile, done) {
      // 这里可以添加用户身份映射逻辑
      return done(null, profile);
  }));
  

按照这些方向排查，应该能解决你的问题，我当时就是卡在CORS和Cookie的SameSite配置上，调整后就正常了。

内容的提问来源于stack exchange，提问作者PKB