使用Facebook Token认证遇阻：请求返回未登录错误，求解决方案

我之前在FeathersJS + React的项目里碰到过一模一样的问题，结合你提到的feathersjs/authentication-oauth2仓库Issue #22里的讨论，给你梳理几个关键的排查和修复方向：

1. 检查跨域(CORS)配置是否正确 #

因为你的React客户端和API是独立部署的，跨域请求的凭证传递很容易出问题。FeathersJS的CORS配置必须允许携带凭证，而且不能用通配符*作为允许的Origin（否则浏览器会拒绝携带凭证）。

在Feathers的主配置文件里调整CORS设置：

const cors = require('cors');

app.use(cors({
  origin: 'http://localhost:3000', // 替换成你的React客户端实际地址
  credentials: true, // 必须开启这个，才能传递会话cookie
  allowedHeaders: ['Content-Type', 'Authorization']
}));

2. 确认OAuth2策略的配置细节 #

Facebook OAuth的策略配置里有几个容易踩坑的点：

• 确保clientID和clientSecret和Facebook开发者后台的应用信息完全一致
• callbackURL必须和Facebook后台设置的“有效OAuth重定向URI”完全匹配（比如http://localhost:3030/authentication/facebook/callback）
• 注册策略时要正确指定Facebook的授权和token接口版本，避免接口过期

示例策略注册代码：

const { OAuth2Strategy } = require('@feathersjs/authentication-oauth2');

app.authentication.register('facebook', new OAuth2Strategy({
  clientID: '你的Facebook应用ID',
  clientSecret: '你的Facebook应用密钥',
  authorizationURL: 'https://www.facebook.com/v18.0/dialog/oauth',
  tokenURL: 'https://graph.facebook.com/v18.0/oauth/access_token',
  callbackURL: 'http://localhost:3030/authentication/facebook/callback',
  scope: ['email', 'public_profile'] // 要获取email必须添加这个权限
}));

3. 遵循Feathers OAuth2的标准流程 #

你当前直接POST带accessToken的请求到/authentication的方式，其实不符合Feathers OAuth2的默认流程。标准的流程应该是：

• 前端引导用户点击“Facebook登录”，跳转到Feathers的OAuth2端点：http://localhost:3030/authentication/facebook
• 用户在Facebook完成授权后，会被重定向回Feathers的回调地址，Feathers会自动处理token验证、用户创建/查找，并返回包含JWT的响应
• 前端从回调页面中提取JWT，保存到localStorage或sessionStorage，之后所有API请求都携带这个JWT

如果一定要用前端直接获取的accessToken来认证，那必须确保请求携带凭证，并且后端的策略支持这种方式（有些自定义配置需要开启）。比如React中用fetch请求时要加上credentials: 'include'：

fetch('http://localhost:3030/authentication', {
  method: 'POST',
  credentials: 'include',
  headers: {
    'Content-Type': 'application/json'
  },
  body: JSON.stringify({
    strategy: 'facebook',
    accessToken: 'EAALOM2rXQ50BAL5vERqa6YTJzyKZAeG4Yd9ZBPuqHfRmFzOpsQiTHEc1uS1sBaot7V9F7JlufpAWqqJoHIG8RCghLdBIKssKRyQqMLxiHvCPTjVDXqaR1rM4FhEXk55nFU0ZBZBP2KNVOoDNAGUBtJAOKaUdbeszLE0gXxgoF0DWgZBsRfVsZBFRBenQLMZBwZCDPIF606aHrA0CdDrcTRqSbcJWZCSlYIMwZD',
    facebookId: '10155772119707013',
    email: 'joshn@hotmail.com.au'
  })
});

4. 参考Issue #22的核心解决方案 #

那个Issue里用户反馈的核心问题大多集中在：

• CORS未开启credentials: true导致会话无法保持
• Facebook回调地址和后端配置不匹配
• 前端请求未携带凭证，后端无法识别会话

建议你先从CORS配置和OAuth策略的回调地址入手排查，这两个是最常见的触发点。

内容的提问来源于stack exchange，提问作者Josh