Patreon OAuth2

O login Patreon é opcional e controlado por PATREON_AUTH_ENABLED. Quando desligado, os endpoints Patreon respondem 503 Service Unavailable. JWTs nunca vão na URL de redirect; a API emite um exchangeCode de uso único (Redis, 60 segundos). O mesmo POST /auth/exchange é compartilhado com os demais provedores sociais.

• • Ativado por feature flag no ambiente
• • Strategy passport-oauth2 customizada + PatreonAuthGuard
• • Perfil obtido via GET https://www.patreon.com/api/oauth2/v2/identity?fields[user]=... after token exchange
• • Scopes identity, identity[email] para perfil e e-mail
• • Allowlist de redirect evita open redirects
• • Mesmo formato de tokens do POST /auth/login

Crie um client em https://www.patreon.com/portal/registration/register-clients. Defina Redirect URI igual a PATREON_CALLBACK_URL. Scopes: identity e identity[email].

1. Abra Patreon Developers → Clients → Create Client
2. Defina Redirect URI (ex.: http://localhost:3000/api/v1/auth/patreon/callback)
3. Copie Client ID e Client Secret
4. Garanta que PATREON_CALLBACK_URL corresponda ao Redirect URI
5. Solicite os scopes identity e identity[email]
6. Ative PATREON_AUTH_ENABLED=true no .env

Carregadas do .env via src/config/patreon-oauth.config.ts (namespace patreonOAuth no ConfigService). Veja .env.example.

PATREON_AUTH_ENABLED=true
PATREON_CLIENT_ID=your-patreon-client-id
PATREON_CLIENT_SECRET=your-patreon-client-secret
PATREON_CALLBACK_URL=http://localhost:3000/api/v1/auth/patreon/callback
PATREON_REDIRECT_ALLOWLIST=myapp://success,http://localhost:5173/auth/callback
PATREON_OAUTH_DEFAULT_ROLES=

Novos usuários Patreon recebem roles: [] por padrão (igual ao register). Defina PATREON_OAUTH_DEFAULT_ROLES no .env como lista separada por vírgula (ex.: user ou user,manager). Usuários existentes vinculados por e-mail mantêm as roles atuais.

1. Cliente abre GET /api/v1/auth/patreon?redirect=<URL na allowlist>
2. Usuário consente no Patreon; o browser chega em GET /api/v1/auth/patreon/callback
3. API chama https://www.patreon.com/api/oauth2/v2/identity, faz upsert do usuário, grava exchangeCode no Redis e redireciona para redirect?code=...
4. Cliente faz POST { code } em /api/v1/auth/exchange e recebe JWTs

Fluxo típico: um botão inicia o OAuth na mesma janela (ou popup); a rota de callback na origem do frontend lê code da query string e chama o exchange.

const API = 'http://localhost:3000/api/v1';
const redirect = encodeURIComponent(
  'http://localhost:5173/auth/callback'
);

// Redirect full-page Nest → Patreon → de volta à SPA
window.location.href = `${API}/auth/patreon?redirect=${redirect}`;

// /auth/callback na SPA
const params = new URLSearchParams(window.location.search);
const code = params.get('code');
if (!code) throw new Error('Missing exchange code');

const res = await fetch('http://localhost:3000/api/v1/auth/exchange', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ code }),
});
if (!res.ok) throw new Error(await res.text());

const { user, accessToken, refreshToken } = await res.json();
// persista os tokens como sua app exigir
sessionStorage.setItem('accessToken', accessToken);
console.log('signed in', user.email);

• • Adicione a URL de callback do frontend em PATREON_REDIRECT_ALLOWLIST (ex.: http://localhost:5173/auth/callback)
• • PATREON_CALLBACK_URL deve apontar para a API Nest, não para a SPA
• • Armazene accessToken / refreshToken com segurança (memória + cookie httpOnly, conforme preferir)

Use um scheme customizado (ou universal link) na allowlist. Após Patreon, a API redireciona para myapp://success?code=.... O app abre, lê o code e chama o exchange.

import * as Linking from 'expo-linking';
import * as WebBrowser from 'expo-web-browser';

const API = 'https://api.example.com/api/v1';
const redirect = encodeURIComponent('myapp://success');

async function signInWithPatreon() {
  const url = `${API}/auth/patreon?redirect=${redirect}`;
  await WebBrowser.openAuthSessionAsync(url, 'myapp://success');
}

import * as Linking from 'expo-linking';

async function exchangeFromUrl(url) {
  const { queryParams } = Linking.parse(url);
  const code = queryParams?.code;
  if (!code) return;

  const res = await fetch(`${API}/auth/exchange`, {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ code }),
  });
  const data = await res.json();
  // data.accessToken, data.refreshToken, data.user
  return data;
}

Linking.addEventListener('url', ({ url }) => {
  exchangeFromUrl(url);
});

• • Registre o scheme no SO / Expo app.json
• • Prefira Linking.addEventListener('url', ...) e getInitialURL()
• • Faça o exchange em HTTPS contra a URL base da API

• • URLs de redirect devem corresponder a prefixos de PATREON_REDIRECT_ALLOWLIST
• • Exchange codes são de uso único e expiram em 60 segundos (Redis)
• • Usuários locais existentes são vinculados pelo e-mail verificado do Patreon (patreonId preenchido; roles inalteradas)
• • Contas só-Patreon têm password null — login / change-password falham até definir senha
• • E-mail é obrigatório em https://www.patreon.com/api/oauth2/v2/identity; o login falha se Patreon não retornar e-mail

Campos da entity / interface usados no login Patreon:

• • patreonId — id único nullable do Patreon
• • password — nullable para contas só-OAuth
• • isActive — true para novos usuários Patreon
• • roles — de PATREON_OAUTH_DEFAULT_ROLES no env (padrão [])

• Hub de autenticação social
• Guia Google OAuth2
• Guia Facebook OAuth2
• Guia X / Twitter OAuth2
• Guia GitHub OAuth2
• Guia Figma OAuth2
• Guia LinkedIn OpenID Connect
• Guia Slack OpenID Connect
• Guia Atlassian OAuth 2.0 (3LO)
• Guia GitLab OAuth2
• Guia Bitbucket OAuth2
• Guia Discord OAuth2
• Guia Twitch OAuth2
• Guia Steam OpenID 2.0
• Guia Amazon OAuth2
• Guia Dropbox OAuth2
• Guia MetaMask SIWE
• Guia Apple Sign In
• Guia Reddit OAuth2
• Auth & JWT