Анализ фрагмента URL-адреса в экспресс-приложении

Question

Я пишу экспресс-приложение, и я должен аутентифицировать пользователя, используя поток oauth 2.0. Я успешно перенаправил пользователя поставщику oauth, и поставщик отправил токен доступа в oauth callback. Что-то вроде

http://localhost:4000/oauth/callback#access_token=<token> 

Теперь у меня есть экспресс-обработчик маршрута как

app.get('/oauth/callback', function(req, res, next) { 
}); 

Я знаю, что фрагмент хэш не передается на сервер, но это OAuth обратного вызова.

Как я могу получить фрагмент хэша url в обработчике маршрута?

Answer 1

Я работаю для Довольных.

К сожалению, на данный момент работает наш обратный вызов OAuth, и мы не отправляем обратно параметр строки запроса. Я упомянул об этом и обсудил это, и мы исправим это в какой-то момент, но на данный момент у нас нет точных временных рамок.

Лучшее, что вы можете сделать на данный момент, - это показать вам обычную HTML-страницу из вашего экспресс-приложения, в которой есть javascript, который будет извлекать токен из window.location.hash, а затем сделать запрос к вашему/oauth/callback ? access_token = конечная точка маркера.

Answer 2

URL-адрес содержит параметр access_token. Это означает, что вы использовали Implicit Flow. В Implicit Flow параметры должны быть встроены в часть фрагмента. Поведение НЕ является ошибкой сервера OAuth.

Если вы хотите получать параметры через часть запроса, вы должны использовать Authorization Code Flow.

Кроме того, если сервер OAuth поддерживает OAuth 2.0 Form Post Response Mode, конечная точка перенаправления может принимать данные в виде запроса POST, добавив response_mode=form_post к вашему запросу авторизации. Спецификация аналогична идее, описанной trodrigues.

В таблице ниже показана взаимосвязь между «response_type/response_mode» и «Состояние/положение HTTP-данных».

Смотрите "Response Format" в Authlete «s Definitive Guide для получения подробной информации о формате отклика authorization endpoint.