Passport.js: passeport-facebook-jeton de la stratégie, de la connexion par le biais de JS SDK et ENSUITE s'authentifier passeport?

J'ai passé une couple de jours de cette semaine à essayer de comprendre la meilleure façon d'utiliser Facebook Authentification pour une API privée, à l'aide de passport.js — passeport-facebook-jeton est parfait pour cela.

Vous avez raison de supposer il s'agit de deux stratégies d'authentification. Vous n'avez pas besoin de passeport, de facebook pour l'utilisation du passeport-facebook-jeton.

Si vous avez Facebook d'authentification mis en œuvre dans le côté client en JS (ou iOS, etc.), et sont à la recherche d'un moyen pour ensuite s'authentifier les requêtes de l'API à l'aide de votre nom d'utilisateur Facebook authToken, passeport-facebook-jeton est vraiment une solution élégante.

passeport-facebook-jeton fonctionne de façon totalement indépendante de passeport, de facebook, et fondamentalement gère les redirections nécessaires par Facebook en interne, avant de transmettre la demande ainsi que de votre contrôleur.

Afin d'authentifier une API itinéraire à l'aide de passeport-facebook-jeton, vous aurez besoin de mettre en place un passeport de la stratégie de la sorte:

passport.use('facebook-token', new FacebookTokenStrategy({
    clientID        : "123-your-app-id",
    clientSecret    : "ssshhhhhhhhh"
  },
  function(accessToken, refreshToken, profile, done) {
    //console.log(profile);

    var user = {
        'email': profile.emails[0].value,
        'name' : profile.name.givenName + ' ' + profile.name.familyName,
        'id'   : profile.id,
        'token': accessToken
    }

    //You can perform any necessary actions with your user at this point,
    //e.g. internal verification against a users table,
    //creating new user entries, etc.

    return done(null, user); //the user object we just made gets passed to the route's controller as `req.user`
  }
));

Il est intéressant de noter que la User.findOrCreate méthode utilisée dans le passeport-facebook-jeton Readme n'est pas un défaut mongo/mangouste méthode, mais un plugin que vous aurez à installer si vous le souhaitez.

Pour utiliser cette auth stratégie en tant que middleware pour l'un de vos routes, vous aurez besoin de passer un access_token objet en tant que paramètre de l'URL, ou comme une propriété du corps de la requête.

app.get('/my/api/:access_token/endpoint', 
        passport.authenticate(['facebook-token','other-strategies']), 
        function (req, res) {

            if (req.user){
                //you're authenticated! return sensitive secret information here.
                res.send(200, {'secrets':['array','of','top','secret','information']});
            } else {
                //not authenticated. go away.
                res.send(401)
            }

        }

NB. le access_token propriété est sensible à la casse et utilise un trait de soulignement.
La documentation de passeport-facebook-jeton n'est pas vaste, mais la source est vraiment bien documenté et assez facile à lire, donc je vous encourage à jeter un oeil sous le capot, là. Il m'a bien aidé envelopper ma tête autour de quelques façons que passeport œuvres.