Passport - Node.js 不返回刷新令牌

Question

我正在尝试使用 node.js 的护照模块返回一个 refreshToken。 但是我正在使用下面的代码，我无法记录任何刷新令牌，但访问令牌工作正常。 有没有办法为这个模块指定离线访问类型以希望返回这个？

var GoogleStrategy = require('passport-google-oauth').OAuth2Strategy;
 passport.use(new GoogleStrategy({
 clientID: GOOGLE_CLIENT_ID,
 clientSecret: GOOGLE_CLIENT_SECRET,
 callbackURL: "http://myurl/auth/callback"
 },
 function(accessToken, refreshToken, profile, done) {                                                            
  console.log(refreshToken);
  process.nextTick(function () {
      return done(null, [{token:accessToken}, {rToken:refreshToken}, {profile:profile}]);
  });
}
));

这会将 refreshToken 返回为未定义。

任何帮助将不胜感激。

Answer 1

这个链接解决了：

https://github.com/jaredhanson/passport/issues/42

具体来说：

passport.authenticate('google', { scope: ['https://www.googleapis.com/auth/userinfo.profile',
                                      'https://www.googleapis.com/auth/userinfo.email'],
                                      accessType: 'offline', approvalPrompt: 'force' });

贾里德·汉森 - 祝福你。

Answer 2

您只需要accessType: 'offline' 即可获得refreshToken 首次登录。

您不需要请求中的approvalPrompt 或prompt。

注意这仅适用于首次登录，如果您不捕获并保存 refreshToken 并在首次登录时将其与您无法轻松获取的用户帐户相关联再来一遍。

如果您没有在有人第一次登录时捕获它，那么您有两种选择：

1. 如果用户登录并且您没有 refreshToken 给他们，您可以立即强制将他们注销（例如，通过在您的应用中使他们的会话过期）并告诉他们转到 @ 987654321@ 并撤消对您的应用程序的访问权限，然后再次登录。

当他们再次登录时，他们将获得与第一次登录时相同的访问提示，并且您将在第一次新登录时获得 refreshToken。只需确保在 Passport 的回调中有一个方法，将 refreshToken 保存到数据库中的用户配置文件中。

然后，您可以在需要调用 Google API 时使用 refreshToken 请求轮换 accessToken。

1. 您也可以同时添加 accessType: 'offline' 和 prompt: 'consent' 选项，但这可能不是您在基于 Web 的应用程序中想要的。

使用这些将提示每个用户每次登录时都批准访问您的应用。尽管有这个名字，approvalPrompt 并没有强制执行这一点，至少在当前版本的 API 中没有强制执行（根据提及它的人数以及 oAuth API 更改的频率判断，这种行为过去完全有可能是不同）。

这对于基于 Web 的应用程序来说不是一个很好的方法，因为它不是一个很好的用户体验，但可能对开发/调试很有用。

更多关于第二个选项：

此选项适用于令牌将在本地保留的场景，例如移动或桌面应用程序（而不是在浏览器中，当缓存被清除或它们自然过期时，它们更有可能被清除）。

Google 会限制他们在应用程序上为用户发出的刷新令牌的数量（并且他们会自动且静默地使最旧的令牌失效），因此将这种方法用于网络应用程序通常不是一个好主意，因为用户可能会发现他们最终退出其他浏览器会话。