JavaScript OAuth认证流程实现-js教程-PHP中文网

JavaScript OAuth认证流程实现

狼影

发布： 2025-10-25 18:07:01

原创

847人浏览过

OAuth 2.0授权码流程通过前端重定向获取code，后端用code换取token，确保第三方应用安全访问用户资源而不暴露密码。

javascript oauth认证流程实现

OAuth 是一种开放标准，允许用户在不暴露密码的情况下授权第三方应用访问其资源。在 JavaScript 中实现 OAuth 认证流程，通常用于前端应用（如 React、Vue）与后端服务或第三方平台（如 GitHub、Google、Facebook）集成。以下是基于 OAuth 2.0 授权码流程的典型实现方式。

理解 OAuth 2.0 授权码流程

这是最安全且常用的 OAuth 流程，适用于有后端的应用：

应用将用户重定向到授权服务器（如 Google 登录页）
用户登录并同意授权
授权服务器回调你的应用指定的 redirect_uri，并附带一个临时的 code
前端将 code 发送给后端
后端使用 code、client_id、client_secret 向授权服务器请求 access_token
获取 token 后，后端可调用第三方 API 代表用户操作

注意：不要在纯前端应用中直接使用 client_secret，存在泄露风险。对于 SPA，应考虑 PKCE 扩展（OAuth 2.1）增强安全性。

前端跳转授权页面

构建授权 URL 并跳转：

const clientId = 'your_client_id';
const redirectUri = encodeURIComponent('https://yourapp.com/auth/callback');
const scope = encodeURIComponent('email profile');
const authUrl = `https://accounts.google.com/o/oauth2/v2/auth?
  client_id=${clientId}&
  redirect_uri=${redirectUri}&
  response_type=code&
  scope=${scope}&
  access_type=offline&
  prompt=consent`;
  
// 跳转
window.location.href = authUrl;

登录后复制

用户授权后会跳回 redirect_uri，URL 类似：

立即学习“Java免费学习笔记（深入）”；

国洋商务通

Gyb2b V1.01免费版可终身使用,是一款功能强大的B2B电子商务应用软件。该软件不仅更新和修改了V1.0相关功能，更是采用了目前互联网上最流行的LAMP组合（Linux+Apache+Mysql+PHP）开发完成，模板技术实现了界面与代码的有效分离，用户可以快速地在此基础上编译模板；提供B2B电子商务应用最常见的求购、供应、商品、公司库、行业资讯、商圈、资信认证、在线交易、交易评分、留言、搜

查看详情

https://yourapp.com/auth/callback?code=AUTHORIZATION_CODE

登录后复制

处理回调并交换 Token

在回调页面提取 code，并发送给后端：

// 从 URL 获取 code
function getUrlParam(name) {
  const urlParams = new URLSearchParams(window.location.search);
  return urlParams.get(name);
}

const code = getUrlParam('code');
if (code) {
  // 发送 code 到自己的后端
  fetch('/api/auth/google/callback', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ code })
  })
  .then(res => res.json())
  .then(data => {
    console.log('登录成功', data);
    // 存储 token 或跳转主页
  });
}

登录后复制

后端示例（Node.js + Express）：

const axios = require('axios');

app.post('/api/auth/google/callback', async (req, res) => {
  const { code } = req.body;
  try {
    const tokenResponse = await axios.post('https://oauth2.googleapis.com/token', null, {
      params: {
        client_id: 'your_client_id',
        client_secret: 'your_client_secret',
        code,
        redirect_uri: 'https://yourapp.com/auth/callback',
        grant_type: 'authorization_code'
      }
    });

    const { access_token, id_token } = tokenResponse.data;

    // 可选：验证 id_token（JWT）
    // 使用 access_token 请求用户信息
    const userResponse = await axios.get('https://www.googleapis.com/oauth2/v2/userinfo', {
      headers: { Authorization: `Bearer ${access_token}` }
    });

    const user = userResponse.data;
    // 创建本地会话或返回 JWT
    res.json({ user, access_token });
  } catch (err) {
    res.status(400).json({ error: '认证失败' });
  }
});

登录后复制