OAuth2 重定向 URL 应该指向前端还是后端？

Question

我正在使用授权授予流程在我的应用程序中设置 OAuth2。 我也在使用 create-react-app，这样我就在localhost:3000上开发，它代理到我在localhost:8080上的应用服务器后端。

除了我无法让CSRF令牌正常工作之外，一切都正常。

我意识到这是因为我将 OAuth2 重定向 URL 设置为后端，结果它没有发送私有加密的csrf_state cookie，因为请求来自谷歌而不是我的应用程序。

我不认为这会成为生产中的问题，因为不会有代理服务器。 相反，后端和前端都将从同一个mydomain.com

那么，我应该不让这项工作在开发中吗？ 或者我应该将 OAuth2 重定向 URL 设置为我的前端（ localhost:3000 ），然后它会自动重定向到后端（ localhost:8080 ），以便它可以发送私有加密的 CSRF 令牌？

或者有没有办法让 cookie 来自谷歌，而无需多次重定向？ 或者我不应该打扰 CSRF，因为SameSite现在在浏览器中拥有如此大的支持？

Answer 1

OAuth2.0 授权代码授权包括使用state参数的 CSRF 保护。 使用它而不是依赖 cookie。

状态

受到推崇的。 客户端用于维护请求和回调之间的状态的不透明值。 授权服务器在将用户代理重定向回客户端时包含此值。 该参数应该用于防止跨站点请求伪造，如第 10.12 节所述。

来源： https : //tools.ietf.org/html/rfc6749#section-4.1

Answer 2

Ahmad 是对的 - 这里有一些关于 React 应用程序和 API 标准用法的更多背景：

如果您使用的是 React，那么您有一个 SPA 应该在登录期间直接重定向到 Google

所以你的重定向 url 应该是 localhost:3000

你的 SPA 应该完全没有 cookie - 而且更简单 - 这是 SPA 的好处之一 - 你也可以在 API 中关闭 CSRF 检查

然后，您的 SPA 将向您的 API 发送访问令牌，API 将需要验证令牌而不是 cookie

我的教程和代码示例可以帮助您了解移动部分： https : //authguidance.com/2017/09/24/basicspa-overview/