能否在Composer-Rest-Server中使用Passport基础认证替代OAuth？

当然可以用基于用户名密码的Passport本地认证来替代OAuth认证，下面给你详细拆解两个问题：

1. 能否替换OAuth为Passport用户名密码认证？ #

完全没问题。Composer Rest Server本身支持集成Passport.js的各种认证策略，包括本地用户名密码策略（passport-local）。你只需要完成以下关键步骤：

• 安装依赖：先安装passport、passport-local模块，若需要会话管理还需安装express-session。
• 配置认证策略：启动Composer Rest Server时，通过--authentication参数启用认证，并指定自定义的Passport策略配置文件。在这个配置文件里，你要实现本地策略的核心验证逻辑——接收客户端传来的用户名和密码，与你存储的用户数据（比如数据库中的加密密码）做比对。
• 启用HTTPS：正如你提到的，必须用HTTPS保障传输安全，启动时加上--tls-key和--tls-cert参数，指定你的SSL密钥和证书文件。

2. 是否需要额外中间件？ #

不需要额外添加专门存储用户名密码或路由的中间件，但有两点需要注意：

• Composer Rest Server本身不提供用户存储功能，所以你需要自行搭建数据库（比如MongoDB、PostgreSQL）来存储用户信息，密码必须用bcrypt这类加密算法存储，绝对不能明文保存。
• 你需要在Passport配置文件里编写验证逻辑，把客户端传来的用户名密码和数据库记录做校验，这个逻辑由你自己实现，但不需要额外路由中间件——Composer Rest Server会自动将认证请求交给Passport处理。

举个简单的配置示例片段（自定义Passport策略文件）：

const passport = require('passport');
const LocalStrategy = require('passport-local').Strategy;
const bcrypt = require('bcrypt');
const User = require('./models/User'); // 你的用户模型

passport.use(new LocalStrategy(
  async (username, password, done) => {
    try {
      const user = await User.findOne({ username });
      if (!user) return done(null, false, { message: '用户不存在' });
      const isMatch = await bcrypt.compare(password, user.password);
      if (isMatch) return done(null, user);
      return done(null, false, { message: '密码错误' });
    } catch (err) {
      return done(err);
    }
  }
));

module.exports = passport;

启动Composer Rest Server的命令示例：

composer-rest-server -c admin@your-network -n never -w true --authentication true --authentication-config ./passport-config.js --tls-key ./private-key.pem --tls-cert ./certificate.pem

这样就能实现基于用户名密码的Passport认证，替代OAuth方案了。

内容的提问来源于stack exchange，提问作者basum