由于最近在開(kāi)發(fā)一個(gè)關(guān)于微博整合的小應用，于是開(kāi)始接觸各大微博平臺的開(kāi)放平臺（新浪、搜狐、網(wǎng)易、QQ）：目前這三大微博的應用開(kāi)發(fā)都采用OAuth授權，要訪(fǎng)問(wèn)大部分API都需要OAuth方式的身份鑒權。OAuth是什么？
先 來(lái)簡(jiǎn)單介紹一下OAuth授權協(xié)議：OAUTH協(xié)議為用戶(hù)資源的授權提供了一個(gè)安全的、開(kāi)放而又簡(jiǎn)易的標準。同時(shí)，任何第三方都可以使用OAuth認證服 務(wù)，任何服務(wù)提供商都可以實(shí)現自身的OAuth認證服務(wù)，因而OAUTH是開(kāi)放的。業(yè)界提供了OAuth的多種實(shí)現如 PHP，JavaScript，Java，Ruby等各種語(yǔ)言開(kāi)發(fā)包，大大節約了程序員的時(shí)間，因而OAuth是簡(jiǎn)易的。目前互聯(lián)網(wǎng)很多服務(wù)如Open API，很多大頭公司如Google，Yahoo，Microsoft等都提供了OAuth認證服務(wù)，這些都足以說(shuō)明OAUTH標準逐漸成為開(kāi)放資源授權 的標準。
OAuth的授權流程
你所開(kāi)發(fā)的應用需要流程如下：
- 向應用服務(wù)商（新浪、搜狐等微博）請求request_token。
- 得到request_token后重定向用戶(hù)到服務(wù)商的授權頁(yè)面。
- 如果用戶(hù)選擇授權你得應用，用request_token向服務(wù)商請求換取access_token。
- 得到access_token等信息訪(fǎng)問(wèn)受限資源。
而服務(wù)商相應的響應如下：
- 創(chuàng )建request_token返回給應用。
- 詢(xún)問(wèn)用戶(hù)是否授權此應用。如果用戶(hù)授權重定向用戶(hù)至應用頁(yè)面。
- 創(chuàng )建access_token并返回給應用。
- 響應受限資源請求并返回相關(guān)信息。
通俗點(diǎn)的說(shuō)法就是“你拿著(zhù)你得身份證明（request_token）向服務(wù)商申請進(jìn)入用戶(hù)家的門(mén)鑰匙（access_token），服務(wù)商詢(xún)問(wèn)用戶(hù)同不同意，如果用戶(hù)同意服務(wù)商就給你進(jìn)入用戶(hù)家門(mén)的鑰匙（access_token），拿到鑰匙后你就可以進(jìn)到用戶(hù)家里”。
OAuth授權的Java實(shí)現
作為一個(gè)開(kāi)放協(xié)議目前有很多現成的Oauth庫可供開(kāi)發(fā)者使用，可以點(diǎn)擊這里下載。不過(guò)有精力有時(shí)間的話(huà)還是自己去實(shí)現一下OAuth授權的流程，可以很好的體會(huì )OAuth認證協(xié)議的原理。
下面就是我使用Java實(shí)現Oauth的具體步驟：
一、獲取Request_token
首先得準備一下參數及其來(lái)源：
- oauth_consumer_key —— 注冊應用后由應用服務(wù)商提供
- consumer_secret —— 注冊應用后由應用服務(wù)商提供
- oauth_callback —— 用戶(hù)授權后的返回地址
- oauth_nonce —— 隨機字符串，須保證每次都不同
- oauth_timestamp —— 時(shí)間戳
- oauth_signature_method —— 簽名base string 的方法，目前支持 HMAC-SHA1
- oauth_version —— Oauth協(xié)議版本
還需要下面三個(gè)請求地址（這些地址任何一個(gè)提供OAuth的服務(wù)商都會(huì )提供給你，看下API文檔就會(huì )找到）：
- requst_token_url —— 上面第1步中的請求地址
- authorize_url —— 上面第2步的請求地址
- access_token_url —— 上面第3步的請求地址
至于如何注冊應用，新浪微博點(diǎn)此，網(wǎng)易微博點(diǎn)此，騰訊微博點(diǎn)此，搜狐微博需要你發(fā)郵件索取，具體看這里。注冊成功后就會(huì )獲得oauth_consumer_key 和 consumer_secret 兩個(gè)參數。
oauth_callback 起的作用是當用戶(hù)授權成功后服務(wù)商會(huì )把用戶(hù)重定向到這個(gè)網(wǎng)址。
oauth_nonce 是一個(gè)隨機字符串下面是我的生成代碼：
public String set_nonce() {
String base = "abcdefghijklmnopqrstuvwxyz0123456789";
Random random = new Random();
StringBuffer sb = new StringBuffer();
for (int i = 0; i < 18; i++) {
int number = random.nextInt(base.length());
sb.append(base.charAt(number));
}
return sb.toString();
}
oauth_timestamp 是請求的時(shí)間戳，我的代碼如下：
public String set_timestamp() {
Date date = new Date();
long time = date.getTime();
return (time + "").substring(0, 10);
}
需要說(shuō)明一下的是這里的時(shí)間戳為10位而不是13位，因此截取0-10位置。
其他參數直接指定就行了。
接下來(lái)，有了這些參數就可以組裝base string了。貯備base string的目的就是為了得到 oauth_signature 這個(gè)參數，這個(gè)參數向服務(wù)商發(fā)送請求的時(shí)候需要用到。
組裝的方法是用下面8部分
- POST（也可以是GET，取決于你應用服務(wù)商支持哪個(gè)）。
- Urlencode之后的requst_token_url 。
- oauth_callback=Urlencode之后你的oauth_callback（Urlencode的參數為“utf-8”）。
- oauth_consumer_key = 你的oauth_consumer_key
- oauth_nonce = 你的oauth_nonce
- oauth_signature_method = 你的 oauth_signature_method
- oauth_timestamp = 你的oauth_timestamp
- oauth_version = “1.0”——目前大多數OAuth都采用的是1.0或1.0a版本。
需 要注意的是上面除了1跟2外其他參數的格數形如： abc=“abc” ，然后先將上面1和2部分用&號相連得到串A、3-8部分用&相連得到串B，下面需要將串B再進(jìn)行一次Urlencode得到串C,最后 將A跟C以&號相連就得到了base string。這個(gè)過(guò)程中 oauth_callback 實(shí)質(zhì)上經(jīng)過(guò)了兩次 Urlencode ，組裝base string是非常容易出錯的，一不小心丟一個(gè)引號或者格式稍有不對就會(huì )出錯。
下面是我的Java實(shí)現代碼：
public String set_basestring() throws UnsupportedEncodingException {
String bss;
bss = oauth_request_method + "&"
+ URLEncoder.encode(requst_token_url, "utf-8") + "&";
String bsss = "oauth_callback="
+ URLEncoder.encode(oauth_callback, "utf-8")
+ "&oauth_consumer_key=" + oauth_consumer_key + "&oauth_nonce="
+ oauth_nonce + "&oauth_signature_method="
+ oauth_signature_method + "&oauth_timestamp="
+ oauth_timestamp + "&oauth_version=" + oauth_version;
bsss = URLEncoder.encode(bsss, "utf-8");
return bss + bsss;
}
有 了base string就可以簽名生成oauth_signature這個(gè)參數，oauth_signature會(huì )在請求request_token的時(shí)候用到。簽 名算法是HMAC-SHA1，簽名的key就是最開(kāi)始的consumer_secret后加一個(gè)&號，簽名算法代碼如下：
public String hmacsha1(String data, String key) {
byte[] byteHMAC = null;
try {
Mac mac = Mac.getInstance("HmacSHA1");
SecretKeySpec spec = new SecretKeySpec(key.getBytes(), "HmacSHA1");
mac.init(spec);
byteHMAC = mac.doFinal(data.getBytes());
} catch (InvalidKeyException e) {
e.printStackTrace();
} catch (NoSuchAlgorithmException ignore) {
}
String oauth = new BASE64Encoder().encode(byteHMAC);
return oauth;
}
里面用的的BASE64Encoder這個(gè)類(lèi)可以Google一個(gè)。
得到oauth_signature后就要開(kāi)始向 requst_token_url 發(fā)送請求了，OAuth規范定義了三種傳遞OAuth參數方式：
- httpheader中
- url中
- post form中
國內各大微博的支持情況是：新浪Httpheader可用,網(wǎng)易Httpheader可用，騰訊只支持在url，搜狐由于沒(méi)有appkey所以還沒(méi)去嘗試。
如果使用Httpheader傳遞參數頭名為“Authorization”，值為下面的格式，將值改為自己應用的。
OAuth oauth_nonce="9zWH6qe0qG7Lc1telCn7FhUbLyVdjEaL3MO5uHxn8", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1272323047", oauth_consumer_key="GDdmIQH6jhtmLUypg82g", oauth_token="8ldIZyxQeVrFZXFOZH5tAwj6vzJYuLQpl0WUEYtWc", oauth_verifier="pDNg57prOHapMbhv25RNf75lVRd6JDsni1AJJIDYoTY", oauth_signature="PUw%2FdHA4fnlJYM6RhXk5IU%2F0fCc%3D", oauth_version="1.0"
url和post form兩種方式的參數名和參數值也即上面的，完全一樣。
請求發(fā)送成功后就會(huì )得到的響應如下：
oauth_token=8ldIZyxQeVrFZXFOZH5tAwj6vzJYuLQpl0WUEYtWc&oauth_token_secret=x6qpRnlEmW9JbQn4PQVVeVG8ZLPEx6A0TOebgwcuA&oauth_callback_confirmed=true
可以看到響應里面已經(jīng)包含oauth_token和oauth_token_secret了。
（未完）
http://www.littlear.com/post/2011/01/0285/
