npm init -y
npm install express axios express-session dotenv

YANDEX_CLIENT_ID=ваш_client_id
YANDEX_CLIENT_SECRET=ваш_client_secret
YANDEX_REDIRECT_URI=http://localhost:3000/auth/yandex/callback
SESSION_SECRET=случайная_строка

<a href="/auth/yandex" class="btn-yandex">
  Войти через Яндекс
</a>

// server.js
const express = require('express');
const axios = require('axios');
const session = require('express-session');
require('dotenv').config();

const app = express();

app.use(session({
  secret: process.env.SESSION_SECRET,
  resave: false,
  saveUninitialized: true,
  cookie: { secure: false } // true при HTTPS
}));

// 1. Начало авторизации
app.get('/auth/yandex', (req, res) => {
  // Генерируем state для защиты от CSRF
  const state = Math.random().toString(36).substring(2);
  req.session.oauthState = state;

  const authUrl = 'https://oauth.yandex.ru/authorize?' + new URLSearchParams({
    response_type: 'code',
    client_id: process.env.YANDEX_CLIENT_ID,
    redirect_uri: process.env.YANDEX_REDIRECT_URI,
    state
  }).toString();

  res.redirect(authUrl);
});

// 2. Callback: Яндекс вернул code
app.get('/auth/yandex/callback', async (req, res) => {
  const { code, state, error } = req.query;

  // Проверка ошибки от Яндекса
  if (error) {
    return res.status(400).send('Авторизация отклонена пользователем');
  }

  // Проверка state
  if (!state || state !== req.session.oauthState) {
    return res.status(400).send('Неверный state (возможна CSRF-атака)');
  }
  delete req.session.oauthState;

  try {
    // 3. Меняем code на access_token
    const tokenResponse = await axios.post(
      'https://oauth.yandex.ru/token',
      new URLSearchParams({
        grant_type: 'authorization_code',
        code,
        client_id: process.env.YANDEX_CLIENT_ID,
        client_secret: process.env.YANDEX_CLIENT_SECRET,
        redirect_uri: process.env.YANDEX_REDIRECT_URI
      }),
      { headers: { 'Content-Type': 'application/x-www-form-urlencoded' } }
    );

    const { access_token } = tokenResponse.data;

    // 4. Получаем данные пользователя
    const userInfo = await axios.get(
      'https://login.yandex.ru/info?format=json',
      { headers: { Authorization: `OAuth ${access_token}` } }
    );

    const { id, default_email, real_name, first_name, last_name, default_avatar_id, is_avatar_empty } = userInfo.data;

    const user = {
      yandexId: id,
      email: default_email,
      name: real_name || `${first_name} ${last_name}`.trim(),
      avatar: is_avatar_empty
        ? null
        : `https://avatars.yandex.net/get-yapic/${default_avatar_id}/islands-200`
    };

    // 5. TODO: найти или создать пользователя в БД
    // const dbUser = await findOrCreateUser(user);

    // Сохраняем в сессии
    req.session.user = user;
    req.session.save(() => res.redirect('/profile'));
  } catch (err) {
    console.error('OAuth error:', err.response?.data || err.message);
    res.status(500).send('Ошибка авторизации');
  }
});

// Страница профиля
app.get('/profile', (req, res) => {
  if (!req.session.user) return res.redirect('/');
  const u = req.session.user;
  res.send(`
    <h1>Привет, ${u.name}!</h1>
    <p>Email: ${u.email}</p>
    ${u.avatar ? `<img src="${u.avatar}" alt="avatar">` : ''}
    <a href="/logout">Выйти</a>
  `);
});

app.get('/logout', (req, res) => {
  req.session.destroy(() => res.redirect('/'));
});

app.listen(3000, () => console.log('Server: http://localhost:3000'));

model User {
  id         Int      @id @default(autoincrement())
  yandexId   String   @unique
  email      String?  @unique
  name       String?
  avatar     String?
  createdAt  DateTime @default(now())
}

async function findOrCreateUser(yandexUser) {
  let user = await prisma.user.findUnique({
    where: { yandexId: yandexUser.yandexId }
  });

  if (!user) {
    user = await prisma.user.create({
      data: {
        yandexId: yandexUser.yandexId,
        email: yandexUser.email,
        name: yandexUser.name,
        avatar: yandexUser.avatar
      }
    });
  }
  return user;
}

// В запросе на authorize добавьте scope
const authUrl = 'https://oauth.yandex.ru/authorize?' + new URLSearchParams({
  response_type: 'code',
  client_id: process.env.YANDEX_CLIENT_ID,
  redirect_uri: process.env.YANDEX_REDIRECT_URI,
  scope: 'login:email login:info',
  state
});

const refreshed = await axios.post('https://oauth.yandex.ru/token',
  new URLSearchParams({
    grant_type: 'refresh_token',
    refresh_token: storedRefreshToken,
    client_id: process.env.YANDEX_CLIENT_ID,
    client_secret: process.env.YANDEX_CLIENT_SECRET
  }),
  { headers: { 'Content-Type': 'application/x-www-form-urlencoded' } }
);

npm install passport passport-yandex

const YandexStrategy = require('passport-yandex').Strategy;

passport.use(new YandexStrategy({
    clientID: process.env.YANDEX_CLIENT_ID,
    clientSecret: process.env.YANDEX_CLIENT_SECRET,
    callbackURL: process.env.YANDEX_REDIRECT_URI
  },
  (accessToken, refreshToken, profile, done) => {
    // profile содержит данные пользователя Яндекса
    return done(null, profile);
  }
));