创作者-品牌对接项目中，如何实现Instagram/TikTok/X的OAuth授权流程？

一、前期准备 #

• 分别在Meta for Developers（Instagram）、TikTok开发者平台、X开发者平台注册开发者账号，创建对应应用，获取每个平台的Client ID和Client Secret，同时配置授权回调URL（必须和你项目中处理回调的地址完全一致，比如https://your-domain.com/api/auth/callback/{platform}）。
• 在数据库中创建social_accounts表，至少包含以下字段：id、creator_id（关联创作者主账号ID）、platform（标记平台类型：instagram/tiktok/x）、access_token、refresh_token（平台支持的话添加）、expires_at（令牌过期时间戳）、created_at。

二、通用OAuth授权流程 #

1. 前端发起授权跳转 #

当创作者点击关联某平台的按钮时，前端构造对应平台的授权URL，跳转到平台官方授权页面：

• 以X平台为例，授权URL示例：

  https://twitter.com/i/oauth2/authorize?
  response_type=code
  &client_id=你的ClientID
  &redirect_uri=https://your-domain.com/api/auth/callback/x
  &scope=tweet.read users.read
  &state=随机生成的字符串
  

• 注意事项：每个平台的授权端点、支持的scope（权限范围）不同，比如Instagram需要user_profile、user_media权限，TikTok需要user.info.basic权限，仅选择业务必需的权限即可；同时要将生成的state存储在前端localStorage中，后续回调时验证，防止CSRF攻击。

2. 后端处理授权回调 #

用户在平台完成授权后，会跳转到你配置的回调URL，后端需执行以下操作：

• 先验证回调参数中的state与前端存储的是否一致，不一致则直接拒绝请求。
• 用回调返回的code，搭配Client ID、Client Secret、redirect_uri，向平台的令牌端点发送POST请求，换取access_token、refresh_token（若平台支持）、expires_in等信息。
  • X平台令牌请求示例：

    POST https://api.twitter.com/2/oauth2/token
    Content-Type: application/x-www-form-urlencoded
    
    grant_type=authorization_code
    &code=回调返回的授权码
    &redirect_uri=https://your-domain.com/api/auth/callback/x
    &client_id=你的ClientID
    &client_secret=你的ClientSecret
    

• 解析平台返回的响应数据，计算expires_at（当前时间 + expires_in秒，转换为时间戳）。
• 将creator_id、platform、access_token、refresh_token、expires_at存入social_accounts表；若该创作者已关联过此平台，则更新现有记录的令牌信息。

三、各平台OAuth细节差异 #

Instagram（Meta） #

• 授权端点：https://api.instagram.com/oauth/authorize
• 令牌端点：https://api.instagram.com/oauth/access_token
• 注意：Instagram的OAuth必须关联Facebook应用，部分权限需通过应用审核才能使用；短期令牌有效期1小时，需换取有效期60天的长期令牌，到期前可用refresh_token刷新。

TikTok #

• 授权端点：https://www.tiktok.com/v2/auth/authorize/
• 令牌端点：https://open.tiktokapis.com/v2/oauth/token/
• 注意：TikTok权限分不同等级，部分权限需提交审核；令牌有效期2小时，refresh_token有效期30天，需定期刷新。

X（Twitter） #

• 授权端点：https://twitter.com/i/oauth2/authorize
• 令牌端点：https://api.twitter.com/2/oauth2/token
• 注意：采用OAuth 2.0的Bearer令牌，刷新令牌需传入refresh_token参数，令牌有效期一般为60天。

四、边缘函数调用令牌的实现 #

• 在边缘函数中，根据creator_id和platform从social_accounts表查询对应的access_token。
• 检查expires_at，若令牌已过期，自动调用对应平台的刷新令牌接口，更新social_accounts表中的access_token和expires_at（平台支持刷新的前提下）。
• 调用平台API时，将access_token放入请求头，格式为Authorization: Bearer {access_token}。
• 伪代码示例：

  async function getValidSocialToken(creatorId, platform) {
    const account = await db.query('SELECT * FROM social_accounts WHERE creator_id = ? AND platform = ?', [creatorId, platform]);
    if (!account) throw new Error('该创作者未关联此平台');
    
    // 检查令牌是否过期
    if (Date.now() > account.expires_at) {
      // 调用对应平台的刷新令牌接口
      const newTokenData = await refreshPlatformToken(platform, account.refresh_token);
      // 更新数据库
      await db.query('UPDATE social_accounts SET access_token = ?, expires_at = ? WHERE id = ?', [newTokenData.access_token, Date.now() + newTokenData.expires_in * 1000, account.id]);
      return newTokenData.access_token;
    }
    return account.access_token;
  }
  

五、关键安全注意事项 #

• 令牌加密存储：access_token和refresh_token必须加密后存入数据库，边缘函数使用时再解密，禁止明文存储。
• 最小权限原则：仅申请业务必需的平台权限，避免过度授权。
• CSRF防护：必须严格验证state参数，防止跨站伪造请求。
• 自动刷新令牌：提前检查令牌有效期，自动完成刷新，避免影响业务流程。
• 回调URL安全：回调地址必须使用HTTPS协议，且仅配置自身业务域名，防止令牌泄露。

内容的提问来源于stack exchange，提问作者Landbank Group