全栈 NestJS 应用程序中的 OAuth2 流程

Question

另一个 OAuth2 问题在其他地方没有完全涵盖。

我使用 NestJS 后端、React 前端、Passport 和我自己的数据库进行身份验证。尝试添加 OAuth2 身份提供商 (Google)。

我将 NestJS 应用程序配置为 OAuth 客户端。登录后，我收到回调，此时我有一个access_token从id_token. 这被封装在一个扩展类中PassportStrategy(Strategy, 'google')，并且AuthGuard('google')其中大部分是自动处理的。代码在这里。

然而，此时，我需要在后端 (NestJS) 和前端 (React) 之间维护经过身份验证的会话。我想我需要一个 JWT，但我想知道最好的方法：

• 我可以使用 IdP 提供的令牌（例如id_token或access_token）吗？这样我就不用担心自己发行代币了。即前端接收令牌（从后端或直接 IdP），在每个请求上发送它，后端在每个请求（verifyIdToken或getTokenInfo）上使用 IdP 验证它google-auth-library。

这里的一个缺点是每次都会产生额外的网络请求。我不确定是否有必要这样做，因为 IdP 仅用于识别用户，而不用于访问其他资源。另一个缺点是我需要存储刷新令牌并在令牌过期时进行处理（获取新令牌，在前端更新它）。

• 那么，我是否可以自己签发 JWT，而不用担心向 IdP 进行登记？一旦 JWT 过期，我需要提示用户再次登录。在这种情况下，我不需要存储 IdP 令牌。但这是好的做法吗？我能想到的一个问题是，我不会检测用户是否撤销 IdP 中的访问权限（直到 JWT 过期）。

Answer 1

我最终发行了自己的 JWT 令牌并在我的应用程序中管理用户会话，如本文所述：OAuth2 in NestJS for Social Login (Google, Facebook, Twitter, etc)