OAuth Implementation
用途
OAuth Implementation 用于实现符合行业标准的 OAuth 2.0 与 OpenID Connect（OIDC）认证流程，配套 JWT 令牌、刷新令牌与安全会话管理能力。根据资料，其主要使用场景包括：用户认证系统、第三方 API 集成、单点登录（SSO）实现、移动应用认证、微服务安全以及社交登录集成。
主要能力
该技能组织为若干参考指南，存放在 references/ 目录下，覆盖多个技术栈的实现方向。资料中明确列出的指南包括：Node.js OAuth 2.0 Server、Python OpenID Connect Implementation、Java Spring Security OAuth。其实现内容涉及 OAuth 客户端注册、授权码管理、刷新令牌与访问令牌管理，以及基于 JWT 的签名与验证（示例中使用 JWT_PRIVATE_KEY 与 JWT_PUBLIC_KEY 环境变量作为签名密钥）。
使用方式
资料给出一个最小可运行示例的片段与结构：使用 Node.js 环境下的 express、jsonwebtoken、crypto、bcrypt 等依赖，定义 OAuthServer 类，内部维护 app、clients、authorizationCodes、refreshTokens、accessTokens 等集合，并提供 registerClient(clientId, clientSecret, redirectUris) 方法用于注册 OAuth 客户端（其中客户端密钥通过 bcrypt.hashSync 进行哈希处理）。示例注释提示完整实现参见参考指南。
关键实现代码片段（保持原样）：
// oauth-server.js - Complete OAuth 2.0 implementation const express = require("express"); const jwt = require("jsonwebtoken"); const crypto = require("crypto"); const bcrypt = require("bcrypt");
class OAuthServer { constructor() { this.app = express(); this.clients = new Map(); this.authorizationCodes = new Map(); this.refreshTokens = new Map(); this.accessTokens = new Map();
// JWT signing keys
this.privateKey = process.env.JWT_PRIVATE_KEY;
this.publicKey = process.env.JWT_PUBLIC_KEY;
this.setupRoutes();
}
// Register OAuth client registerClient(clientId, clientSecret, redirectUris) { this.clients.set(clientId, { clientSecret: bcrypt.hashSync(clientSecret, 10), // ... (see reference guides for full implementation)
最佳实践
应当做的：为公共客户端使用 PKCE；实现令牌轮换；安全存储令牌；全程使用 HTTPS；校验重定向 URI；实施速率限制；使用短生命周期的访问令牌；记录认证事件。
不应做的：将令牌存储在 localStorage 中；使用隐式流程（implicit flow）；跳过 state 参数；暴露客户端密钥；允许开放重定向；使用弱签名密钥。
适用场景
Web 与移动端的安全认证系统构建、需要接入第三方 API 或社交登录的应用、需要统一身份入口的 SSO 场景，以及微服务架构下的安全授权。
限制
资料未说明具体的支持平台范围、部署方式、收费模式与价格，也未提供完整实现代码全文（仅给出片段与参考指南目录结构），这些内容暂未提供。