请描述在 Node.js 运行时环境中，集成并实现 OAuth 认证流程的具体方法和步骤。
考察说明
考查候选人能否清晰阐述 OAuth 认证在 Node.js 中的实现细节及安全注意事项。
回答思路
- 【回答框架 1】OAuth 是授权框架，核心角色包括资源所有者、客户端、授权服务器和资源服务器。实现时先明确授权类型，如授权码流程适用于有后端的 Web 应用，客户端凭证流程适用于服务间通信，密码流程仅限受信任客户端。
- 【回答框架 2】在 Node.js 中，常利用 Passport.js 配合 passport-oauth2 策略简化流程。需要配置授权服务器的端点，如 authorizationURL、tokenURL 和回调 URL，并在回调路由中通过 exchange 获取访问令牌和刷新令牌。也可直接使用 axios 或 node-fetch 手动构造请求，但需自己处理状态参数、令牌存储和错误重试。
- 【回答框架 3】访问令牌应存储在服务端会话或加密的 HTTP-only cookie 中，避免暴露给前端。刷新令牌需安全保存，并设置合理的过期时间。必要时实现令牌的自动续期机制，防止用户频繁重新授权。
- 【回答框架 4】处理回调时需验证 state 参数以防止 CSRF，同时校验授权码仅能使用一次。根据服务提供方的要求，可能还需要验证 JWT 签名或调用用户信息接口确认身份。
- 【回答框架 5】最后，可通过中间件或其他方式保护需要认证的路由，在响应中提供统一的 401 处理逻辑，并支持登出时吊销令牌。实际部署需考虑 HTTPS、请求日志和速率限制等安全实践。
- 【关键点 1】OAuth 是授权协议，不是身份认证协议，但可结合 OpenID Connect 实现认证。
- 【关键点 2】Node.js 实现常用 Passport.js 的 OAuth2 策略，也可手动实现。
- 【关键点 3】必须校验 state 参数防止 CSRF，并安全存储访问令牌和刷新令牌。
- 【关键点 4】授权码模式是最安全的方式，适用于有后端的应用。
- 【关键点 5】需要注意令牌有效期和刷新机制。
- 【易错点 1】将访问令牌存储在前端 localStorage，易受 XSS 攻击。
- 【易错点 2】忽略 state 参数校验，导致 CSRF 攻击。
- 【易错点 3】授权码泄露或未及时过期，导致安全问题。