基于Google OAuth的Web应用会话管理：解耦与最佳实践

import express from 'express';
import { google } from 'googleapis';
import jwt from 'jsonwebtoken';
import { PrismaClient } from '@prisma/client'; // 假设使用Prisma进行数据库操作

const app = express();
const prisma = new PrismaClient();
const secret = process.env.JWT_SECRET || 'your_jwt_secret_key'; // 确保使用强密钥
const origin = process.env.CLIENT_ORIGIN || 'http://localhost:3000'; // 客户端前端地址

// 配置Google OAuth客户端
const authClient = new google.auth.OAuth2(
  process.env.GOOGLE_CLIENT_ID,
  process.env.GOOGLE_CLIENT_SECRET,
  process.env.GOOGLE_REDIRECT_URI
);

// Google OAuth回调路由
app.get('/auth/google/callback', async (req, res) => {
  const code = req.query.code as string;
  try {
    const { tokens } = await authClient.getToken(code);
    authClient.setCredentials(tokens);

    // 获取用户信息
    const { data } = await google.oauth2('v2').userinfo.get({ auth: authClient });

    // 在数据库中查找或创建用户
    let user = await prisma.user.findUnique({ where: { googleId: data.id! } });
    if (!user) {
      user = await prisma.user.create({
        data: {
          googleId: data.id!,
          displayName: data.name!,
          email: data.email, // 可选：存储用户邮箱
        },
      });
    }

    // 签发JWT作为应用会话凭证
    const token = jwt.sign({ id: user.id, googleId: user.googleId }, secret, { expiresIn: '1d' }); // JWT有效期1天

    // 将JWT设置为HTTP Only Cookie
    res.cookie('token', token, {
      httpOnly: true, // 防止客户端JS访问Cookie，提高安全性
      secure: process.env.NODE_ENV === 'production', // 仅在生产环境（HTTPS）下发送Cookie
      maxAge: 24 * 60 * 60 * 1000, // Cookie有效期1天，与JWT过期时间保持一致
      sameSite: 'Lax', // 重要的CSRF防护措施
    });

    res.redirect(origin); // 重定向到客户端前端
  } catch (error) {
    console.error('Error during Google OAuth callback:', error);
    res.redirect(`${origin}/login?error=oauth_failed`); // 登录失败重定向
  }
});

// 保护路由示例
app.get('/api/profile', (req, res) => {
  const token = req.cookies.token;
  if (!token) {
    return res.status(401).send({ message: 'Unauthorized' });
  }
  try {
    const decoded = jwt.verify(token, secret);
    res.status(200).send({ message: 'Welcome to your profile!', user: decoded });
  } catch (error) {
    res.status(401).send({ message: 'Invalid or expired token' });
  }
});

// 其他Express配置和路由...
// app.listen(...)

// 示例：应用登出路由
app.post('/api/logout', (req, res) => {
  res.clearCookie('token', {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production',
    sameSite: 'Lax',
  });
  res.status(200).send({ message: 'Logged out successfully from application.' });
});