node.js - 独自のモバイル クライアントの OAuth 2.0 認証

Question

モバイルクライアントも持つnode.jsを使用してアプリを開発しています。OAuth 2.0 を使用して認証を行うことを検討しています。OAuth 2.0 認証サーバーを使用できるようにする適切なモジュールはありますか?

Passportのサブモジュール「OAuth2orize」を見てみました。私はそれで十分だと思いましたが、本当の問題は、それが自分のアプリでどのように機能するかを理解することでした (例とドキュメントはサードパーティの承認について指定しています)。

基本的に私が望むのは、クライアントがクライアントID、ユーザーのユーザー名、ユーザーのパスワードでログインし、上記の3つのことを確認した後、トークンを渡すことです。しかし、Oauth2orize の問題は、リダイレクト URI があり、それらすべてが私を混乱させていることです。

Oauth2rizeまたは他の本当に優れたモジュールを使用してこれを達成する方法を教えてください。または、簡単に自分でロールバックすることもできますが、セキュリティに関しては良い考えでしょうか??

Answer 1

探しているのは、Resource Owner Password Credentialsフローです。ご覧のとおり、oauth2 の例には、このフローをサポートする機能が含まれていません。実際には、例は認証コードフローのみをカバーしています。

最終的には、実装がかなり簡単になるはずです。必要なのは、探している情報を含むリクエストを受け入れ (そしてそれを承認し)、トークン データベースにトークンを作成して返すことだけです。oauth2orize の残りの部分が使用しているのと同じトークン データベースを使用している限り、問題なく動作するはずです。参照: 「リソース所有者のパスワード フロー」については、oAuth2orize を使用して信頼できるクライアント情報を渡すを参照してください。

訂正: oauth2orize のすべて許可の例は、暗黙的フローと認証コード フローをサポートします。