如何使用 Passport.js 访问 OAuth 的状态参数？

我正在使用 Passport.js 进行身份验证，并且每个Google 的 OAuth2 文档 https://developers.google.com/accounts/docs/OAuth2Login#formingtheurl，我传递一个状态变量：

app.get('/authenticate/googleOAuth', function(request, response) {
  passport.authenticate('google', {
    scope:
    [
      'https://www.googleapis.com/auth/userinfo.profile',
      'https://www.googleapis.com/auth/userinfo.email'
    ],
    state: { blah: 'test' }
  })(request, response);
});

但是，我以后似乎无法访问该变量：

passport.use(new googleStrategy(
{
    clientID: '...',
    clientSecret: '...',
    callbackURL: '...',
    passReqToCallback: true
},
function(request, accessToken, refreshToken, profile, done) {
  console.log('state: ' + request.query.state);
  login(profile, done);
}));

request.query.state 未定义。 request.param("state") 也不起作用。

在身份验证回调之后如何获取该变量？

这不起作用的原因是因为您将状态作为对象而不是字符串传递。看来护照并没有为你证明这个价值。如果你想通过状态参数传递一个对象，你可以这样做：

passport.authenticate("google", {
  scope: [
    'https://www.googleapis.com/auth/userinfo.profile',
    'https://www.googleapis.com/auth/userinfo.email'
  ],
  state: base64url(JSON.stringify(blah: 'test'))
})(request, response);

正如 Rob DiMarco 在他的回答中指出的那样，您可以访问state回调中的参数req.query object.

我不确定编码应用程序状态并将其传递到state不过 param 是个好主意。 OAuth 2.0 RFC第 4.1.1 节 https://www.rfc-editor.org/rfc/rfc6749#section-4.1.1将状态定义为“不透明的值”。它的目的是用于跨站请求伪造保护 https://www.rfc-editor.org/rfc/rfc6749#section-10.12。在授权请求和回调之间保留应用程序状态的更好方法可能是：

1. 产生一些state参数值（例如cookie的哈希值）
2. 持久化应用程序状态state作为发起授权请求之前的标识符
3. 使用以下命令在回调请求处理程序中检索应用程序状态state从 Google 返回的参数