已部署：如何实现 dpd-passport 并安全地进行身份验证

Question

首先让我说我真的很喜欢Deployd。我想在生产中使用它，但我想结合 OAuth 和社交登录，所以我安装了 dpd-passport 模块。它工作得很好，除了两个小（大）问题：

1. 当用户通过 OAuth 提供商（例如 Facebook、Twitter、Github）登录时，会创建新的用户记录...但如果同一用户清除其 cookie 或使用不同的浏览器登录，则会创建新的用户记录已创建。
2. 如果我做了一些聪明的事情（阅读：hacky）并根据 socialAccount 和 socialAccountId 为具有社交登录的用户分配一个 ID（对于每个社交帐户来说都是唯一但不变的），那么有人可以使用标准的用户创建方法来欺骗如果用户知道该用户的 socialAccount 和 socialAccountId，则向 /users 端点发出 POST 请求。

我的问题是：我怎样才能 A) 防止 #1 发生，或 B) 禁用用户创建的标准方法 也阻止 OAuth 用户创建？

有没有人在生产中成功使用过Deployd 和dpd-passport？如果是这样，我想和你谈谈......

提前致谢！

Answer 1

首先，我认为您没有根据文档添加自定义字段。 https://www.npmjs.com/package/dpd-passport#requirements

我也没有，并观察了新的用户功能（因为它无法查找来自身份验证服务的响应来查找以前的用户）。添加这些字段修复了它。

另外，这里有一个 google 组： https://groups.google.com/forum/#!forum/deployd-users

希望对您有所帮助。