拿nodejs快速搭建简单Oauth认证和restful API server攻略

拿nodejs快速搭建简单Oauth认证和restful API server攻略:http://blog.csdn.net/zhaoweitco/article/details/21708955

最近一直在鼓捣这个东西,拿出来分享下一下经验吧,其实很简单,一点也不难。

首先需求是这样,给自己的网站要增加API服务,API分为两种,公共的和私有授权的,授权的使用Oauth方法认证身份,API格式均为JOSN和JSONP。

嗯,别的语言我也没怎么学过,首先是找合适的框架进行实现吧。本身网站使用的express2.x开发的,再在express2.x的基础上开发api接口感觉太累了,找到了社区推荐的restify http://mcavage.github.io/node-restify/ 进行API开发,然后又搜到了一个开源的oauth的express中间件,https://github.com/ammmir/node-oauth2-provider

数据源是mongodb,那么开搞吧。

首先是把api的策略和需求文档整理出来,这里有个还没开发完的例子:

https://github.com/xiaojue/tuer.me/blob/master/docs/index.md

首先是授权方法和api讲解,然后是api列表和实现地址与接口简单说明,参数说明等。

当然这写都是在开始写api之前要先大概设计好的。参见上面的地址。我也是参考了别的网站的api文档自己胡乱写的。大概就那么个意思吧。。

然后在说具体开发的细节时,得先讲明白啥是Oauth认证和restful,百科上有官方解释,我就不自己忽悠了。我在这里说下自己的白话理解。

首先restful是api的格式和规范,使用restify应该是帮你会保持好格式和一些特定的特征的,这里我没做过多了解,文档实在太多。。我只知道就像普通网站开发一下,写好json接口就好了。

但是这写api需要认证使用者的身份,这里的使用者分为2种身份,一种为api调用程序,也就是开发者写的代码,一种是使用程序的普通用户的身份需要验证。

对程序的认证,我使用appkey和secret的方式认证,没有这2个,是不允许请求api的。

appkey和secret简单来说就是对程序的另外一份密码和帐号的实现。当开发者申请了一个appkey的时候,我通过算法来进行生成这2个东东,在程序请求api的时候通过对这2个的核对,来确保程序来源。

首先在自己网站上要先写一个申请api的服务,然后做一个简单的后台对申请后的应用就行审核,审核其实就是生成appkey和secret的过程。

应用拥有了appkey和secret之后,公开的api可以直接用参数带appkey的方式获取资源。授权api则需要通过用户授权了,这里就需要用到secret了。

具体流程是:

用户使用第三方应用之前,第三方应用给出本站的一个授权页面地址,参数夹带appkey和回调地址,回调地址和之前申请的地址要一致,确保不会被钓鱼。

用户抵达我的站点授权应用之后,我会把浏览器重新定向到那个回调地址,带一个临时的code码,这个code码是和appkey成对应的。

第三方应用把这个code码获取之后,用这个code码加appkey加程序的secret,来本站换取用户的token,这个时候的secret不会对外部有暴露,就像密码一样,post给我,我再和对code和secret信息,完成对appkey的第二次校验,之后根据这个用户的特征给这个用户生成一个token,2份,我本地一份,第三方一份。

这个token就是用于校验用户身份的了,算法一般是采用可逆的加密方式,但是要有密钥才可以解开的。这里就不详细说了,可以自行搜索serializer这个模块,就是干这个的。

token在加密的时候,本身会注入一些信息,比如这个用户的id,生成时间戳,以及其他一些你觉得有用的信息。

在下次第三方应用发token换取授权api的时候,主站可以解开这个token,核对时间戳【看token的有效期是否合法】看id是否存在,检查一些其他隐藏属性是否被修改等,来进行再次身份确认。

我的程序token是100天的有效期。当然还会提供刷新token的方法,方法就和上面的过程类似了,拿老token换新token,2边同步下即可。

ok,oauth算是大概说明白流程了。上面看起来很复杂的,但是有了最开始说的2个模块之后,很多事情就不需要自己来干了。

这里给出2个参考文件:

https://github.com/xiaojue/tuer.me/blob/master/lib/OAP.js

这个是oauth在主站的路由控制,详细api可以见oauth2-provider的项目例子。里面提供生成token的方法,生成授权表单的路由,对header拦截和校验的功能等。很方便,只需要自己相应填空就行,当然要结合自己网站的数据进行查询和校验。

还有一个就是api的实现了,restify有不少的坑需要一一说明,首先是对中文的实现,编码utf-8在官方的例子是设置req.setChart 但是,真正的最新2.x版本又去掉了这个功能,所以必须自己手动设置。

还有就是对oauth2的支持也并不好,如果用他的Authorization header parsing插件,对token放在url中,或者可能自己需要扩展的认证方法,很难修改【要改他的源码。你pull request了吧,人家肯定也不收。。】所以我是自己用restify的use自己写了一个,参考代码如下:

https://github.com/xiaojue/tuer.me/blob/master/api.js#L75

写的很搓。。不过很通俗易懂了。。大概就是校验几个接受token的地方,然后解开token进行核对确认身份,再看是否需要拦截。

当然在具体的api接口中,还是需要再次确认了,比如一个api,是修改用户资料,那么应用传了一个token,虽然合法,但是可能不是这个用户的token,所以还是需要在api中需要的地方再次进行身份认证。

所以我在req.authorization又进行了token的存储。方便在接口中再次获取校验。

ok,然后就是编写你自己的业务api了,和写网站差不多,语法和思路和express也是一样的。再给一个例子:

https://github.com/xiaojue/tuer.me/blob/master/routes/apis/feed.js

这是网站feed的api实现,一看就很简单了。。需要注意的是,在往外吐的时候,还是要配置个白名单。否则获取用户信息把pwd也反回去就囧了。。

ok。再详细的攻略等我把api全部开发好了,上线之后再上 客户端的demo例子吧。

时间: 2024-10-23 05:57:38

拿nodejs快速搭建简单Oauth认证和restful API server攻略的相关文章

用 Spring 快速搭建 Web 应用(支持 RESTful API)

Spring 是个好框架……不过 Java 开发的一个通病是前期配置太麻烦.正好手头上有个新项目,我考虑后决定用 Java 做,看了新出的 Spring 4,还有 Spring Boot,可以快速地做出一个 Web Demo.不过我不太喜欢大量使用注解的方式,而且 Spring 4 出来的时间不久,资料也不多,所以还是打算用 Spring 3 来做. Spring 3 的配置比较多,网上不少文章会教你一步步搭建环境,涉及到细节就是怎么说的都有了.另一个不爽的地方是,有些概念解释不清,对初次使用的

Django:快速搭建简单的Blog

一,创建项目 1, 为blog创建名为mysite的工程项目: django-admin.py startproject mysite 2, 项目结构如下: mysite ├── manage.py └── mysite ├── __init__.py ├── settings.py ├── urls.py └── wsgi.py manage.py ----- Django项目里面的工具,通过它可以调用django shell和数据库等. settings.py ---- 包含了项目的默认设置

【重学Node.js 第1&2篇】本地搭建Node环境并起RESTful Api服务

本地搭建Node环境并起RESTful Api服务 课程介绍看这里:https://www.cnblogs.com/zhangran/p/11963616.html 项目github地址:https://github.com/hellozhangran/happy-egg-server 说明:本想分两章讲环境搭建和起api服务,但操作下来确实过于简单.但考虑到整个系列的完整性也不能不讲,那就把这两篇合二为一吧 本地搭建Node环境 开发环境主要是指Node.MongoDB.本人是用的mac电脑,

k8s使用自定义证书将客户端认证接入到API Server

自定义证书使用kubectl认证接入API Serverkubeconfig是API Server的客户端连入API Server时使用的认证格式的客户端配置文件.使用kubectl config view查看其配置 1 kubectl config view 2 apiVersion: v1 3 clusters: #集群列表 4 - cluster: 5 certificate-authority-data: DATA+OMITTED 6 server: https://192.168.1.

json server的简单使用(附:使用nodejs快速搭建本地服务器)

作为前端开发人员,经常需要模拟后台数据,我们称之为mock.通常的方式为自己搭建一个服务器,返回我们想要的数据.json server 作为工具,因为它足够简单,写少量数据,即可使用. 安装 首先需要安装nodejs,建议使用最新版本.然后全局安装json server. npm install json-server -g 安装完成后可以用 json-server -h 命令检查是否安装成功,成功后会出现json-server相关的参数选项. 运行 安装完成后,可以在任一目录下建立一个 xxx

快速搭建简单的LBS程序——地图服务

很多时候,我们的程序需要提供需要搭建基于位置的服务(LBS),本文这里简单的介绍一下其涉及的一些基本知识. 墨卡托投影 地图本身是一个三维图像,但在电脑上展示时,往往需要将其转换为二维的平面图形,需要通过投影的方式将三维空间中的点映射到二维空间中.地图投影需要建立地球表面点与投影平面点的一一对应关系. 我们经常使用的一种投影算法是墨卡托投影,大概做法就是先拿一个圆柱体使它的轴与地球自转轴重合,先把球面上的点投影到圆柱的侧面上,再把圆柱展开就得到长方形的地图了. 关于墨卡托投影可以更多信息可以参看

Django + mysql 快速搭建简单web投票系统

了解学习pyhton web的简单demo 1. 安装Django, 安装pyhton 自行百度 2. 执行命令创建project  django-admin.py startproject mysite 3. 执行命令创建app python manage.py startapp polls 目录结构:   polls/templates/polls 目录  和  polls/admin.py 都是自己手动创建的. 4. 编辑setting.py 添加app  polls  同时打开admin

如何使用nodejs快速搭建本地服务器

1.首先要安装好node,js 2.以下有安装包下载的链接:这里的安装包是.msi,如果要其他的,可以到菜鸟教程上去找 32 位安装包下载地址 : https://nodejs.org/dist/v4.4.3/node-v4.4.3-x86.msi: 64 位安装包下载地址 : https://nodejs.org/dist/v4.4.3/node-v4.4.3-x64.msi: 3.安装好了,我们打开cmd,输入命令行1:node -v,    这里是查询node版本,如果出现以下界面说明已经

Castle ActiveRecord框架学习(二):快速搭建简单博客网站

一.数据库 1.数据表 Category:类别标签表(字段Type=1为类别,Type=2为标签) Category_Post:类别标签与文章中间表 Post:文章表 Comment:评论表 2.数据库关系图 3.简单说明 Category和Post表为多对多关系 Post和Comment表 为一对多关系 二.实体类 1.Category类: // 指定数据表,Lazy为延迟加载 [ActiveRecord("Category",Lazy=true)] public class Cat