关于RESTful API授权的最佳实践和一些疑虑

Question

我目前正在 Express.js 中开发一个后端服务器，用户可以使用基本的电子邮件和密码方法或社交登录方法（例如 Google、Facebook）在客户端登录或注册。在我的研究过程中，我发现了两种潜在的方法：JWT（JSON Web 令牌）和 OAuth 2.0。我对此有几个问题：

1. 我应该使用 JWT 进行授权、OAuth 2.0 还是两者的组合 两者都？
2. 如果我选择 JWT，验证的最佳实践是什么 他们在服务器端？用以下方法验证它们是否足够 秘钥，或者还有其他推荐的做法吗？
3. 如果我选择OAuth 2.0，我是否需要创建自己的代理授权服务器来 管理使用电子邮件和密码注册的用户，而不是 第三方社交账号？
4. 是否有其他授权 生产层面常用的技术，以确保稳健 安全？

另外，推荐一些有助于理解这些概念的学习资源或材料吗？

Answer 1

是的，通常将 JWT（JSON Web 令牌）与 OAuth 2.0 结合使用来进行身份验证和授权的不同方面。这是一个常见的场景：

OAuth 2.0 用于身份验证： 使用 OAuth 2.0 处理初始身份验证流程，特别是对于社交登录（例如 Google、Facebook）等场景。 当用户使用第三方身份提供商（OAuth 2.0 身份验证服务器）登录时，您的服务器会收到授权代码。 将此授权代码交换为访问令牌和可能的刷新令牌。 然后，访问令牌可用于访问第三方服务上的用户资源。 JWT 授权： 一旦您的服务器对用户进行了身份验证（通过 OAuth 2.0 或电子邮件/密码等其他方法），您就可以生成 JWT 来表示用户的身份和相关声明。 JWT 可以包含用户角色、权限和其他相关详细信息等信息。 该 JWT 可以发送到客户端，客户端可以将其包含在对 API 的后续请求的标头中。 然后，您的服务器可以验证 JWT，以确保请求根据所包含的声明获得授权。 通过结合 OAuth 2.0 和 JWT，您可以利用 OAuth 2.0 进行初始身份验证流程，并利用 JWT 来管理应用程序内的授权和访问控制。

这是一个简化的流程：

用户通过 OAuth 2.0 登录（例如 Google、Facebook）。 您的服务器从 OAuth 2.0 提供商获取访问令牌。 您的服务器生成包含用户声明（角色、权限）的 JWT。 该 JWT 被发送到客户端。 客户端将 JWT 包含在 API 请求的标头中。 您的服务器验证 JWT 以授权请求。 这种方法在行业标准身份验证 (OAuth 2.0) 和灵活的无状态授权机制 (JWT) 之间提供了良好的平衡。值得注意的是，具体细节可能会根据您的应用程序要求和您要集成的身份提供商而有所不同。