OAuth1.0实践之foursquare客户端同步到饭否

上回说完了《OAuth2.0实践之foursquare客户端登录》这回还是要回来说OAuth1.0。

还是我写的那个foursquare的web客户端程序。其中加上了同步到饭否的功能，原来用的是BasicAuth，不过饭否宣布从今年元旦开始关闭BasicAuth，全面改用OAuth1.0。于是我又不得不赶在截止前几天把这部分程序改写了——还好不像上次那样完全重写，改起来还是很快的。不过其中因为OAuth1.0的签名部分影响到了几个基础函数，改了一些地方，弄出了些坏味道。因为反正用php就是为了quick and dirty，也就懒得去重构什么的了，能用就行。

同样，这里也不讨论程序的其它部分，只谈一下同步到饭否的部分。

按照标准的OAuth1.0登录流程应该是这样的：

1、在服务提供方注册一个客户端应用，取得一对consumer_key和consumer_secret；

2、通过调用提供方的oauth request_token取得一个临时token；

3、凭这个临时token和回调地址转向到提供方的authorize页面，用户在这个页面上决定是否授权；

4、用户授权后，提供方转向到回调地址，并提供一个verifier码；

5、凭这个verifier码和临时token调用提供方的oauth access_token取得正式的access_token；

6、使用access_token调用提供方的API。

以上全部调用请求中都必须附上consumer_key/secret，并且加以数字签名。

很明显，比OAuth2.0要复杂很多，还好这个技术已经比较成熟，有很多现成的库可以用。因为我的虚拟主机目前还是只支持PHP4，所以用的是一个可以支持PHP4的库：lib_oauth.php。那个流行的OAuth.php库其实稍微改改也可以，我原来也试过，不过还是觉得用现成的方便些，就换成这个lib_oauth了。

顺便吐槽一句，国内这些网站号称提供API的，个个实现都有妖蛾子，并不像国外网站做得那么规范。尤其以新浪和腾迅为甚，网易和搜狐略好，不过搜狐也有问题，OAuth1.0不支持Head方式，而且对参数也有一些特别的要求。至于饭否，它最妖的地方就是：居然没有 verifier 码！估计是通过时间和IP之类的来鉴定的吧。

好吧，具体到这个应用上来。我需要实现的功能包括两块：一是登录饭否，二是通过饭否API发消息。

首先是按饭否官方方式申请一对key/secret。

然后用类似foursquare登录部分的方式实现一个饭否登录：

用户点一个链接，程序调用request_token并重定向到饭否的authorize，用户确认授权以后回调回来，程序再调用access_token取得正式的access_token（注意：这里没有verifier）并回以保存。

最后，在调用饭否API前用OAuth1.0规范进行请求签名。

具体的登录代码如下：

function fanfou_login() {
 session_start();
 $GLOBALS['user']['fantype'] = 'oauth';

 if ($oauth_token = $_GET['oauth_token']) {  //  来自饭否的回调
  $response = fanfou_process(FANFOU_OAUTH.'access_token');  //  直接申请access_token，与标准不同的是没有verifier
  parse_str($response, $token);
  $GLOBALS['user']['fanpass'] = $token['oauth_token'] .'|'.$token['oauth_token_secret'];
  unset($_SESSION['oauth_request_token_secret']);
  $user = fanfou_process(FANFOU_API.'account/verify_credentials.json');  //  调用一个API功能以验证登录是否成功
  $GLOBALS['user']['fanuser'] = $user->id;
  _user_save_cookie(1);
  header('Location: '.BASE_URL.SF_CALLBACK.'?'.http_build_query(array('redir' => BASE_URL)));
  exit();
 } else {  //  用户选择登录饭否
  $response = fanfou_process(FANFOU_OAUTH.'request_token');  //  取得临时token
  parse_str($response, $token);
  $_SESSION['oauth_request_token_secret'] = $token['oauth_token_secret'];
  $authorise_url = FANFOU_OAUTH.'authorize?oauth_token='.$token['oauth_token']."&oauth_callback=".BASE_URL.FANFOU_CALLBACK;
  header("Location: $authorise_url");  //  转向饭否的authorize页面，请求用户授权
 }
}

取得access_token以后以及取得之前的请求，都需要按规范加入consumer_key/consumer_secret，并加以签名（签名内容包括规范要求的所有字段，不过这部分工作已经由oauth库处理了）。

function fan_oauth_sign(&$url, &$args) {
 require_once 'lib_oauth.php'; //  引用 lib_oauth 库
 $method = $args !== false ? 'POST' : 'GET';
 if (preg_match_all('#[?&]([^=]+)=([^&]+)#', $url, $matches, PREG_SET_ORDER)) {
  foreach ($matches as $match) {
   $args[$match[1]] = $match[2];
  }
  $url = substr($url, 0, strpos($url, '?'));
 }
 if (($oauth_token = $_GET['oauth_token']) && $_SESSION['oauth_request_token_secret']) {
  $oauth_token_secret = $_SESSION['oauth_request_token_secret'];
 } else {
  list($oauth_token, $oauth_token_secret) = explode('|', $GLOBALS['user']['fanpass']);
 }
  $keys = array(
  'oauth_key'  => OAUTH_CONSUMER_KEY,
 'oauth_secret' => OAUTH_CONSUMER_SECRET,
 'user_key' => $oauth_token,
 'user_secret' => $oauth_token_secret,
 );
 $url = oauth_sign_get($keys, $url, $args, $method);  // OAuth1.0签名

 if ($method == 'POST'){
 list($url, $args) = explode('?', $url, 2);
 }else{
 $args = false;
 }
}

function fanfou_process($url, $post_data = false) {
 fan_oauth_sign($url, $post_data);
 $result = api_process($url, $post_data);
 $response = $result['response'];
 $response_info = $result['response_info'];
    //  错误处理及json解码之类，从略……
}

这部分代码看起来比OAuth2.0并没有复杂太多，但这是在使用了oauth库的情况下才有这样的简化。用OAuth2.0的话则不需要依赖别的库就可以实现，而且还要简单。

整个客户端代码下载在Google Code。