OAuth1.0实践之foursquare客户端同步到饭否

上回说完了《OAuth2.0实践之foursquare客户端登录》这回还是要回来说OAuth1.0。

还是我写的那个foursquare的web客户端程序。其中加上了同步到饭否的功能，原来用的是BasicAuth，不过饭否宣布从今年元旦开始关闭BasicAuth，全面改用OAuth1.0。于是我又不得不赶在截止前几天把这部分程序改写了——还好不像上次那样完全重写，改起来还是很快的。不过其中因为OAuth1.0的签名部分影响到了几个基础函数，改了一些地方，弄出了些坏味道。因为反正用php就是为了quick and dirty，也就懒得去重构什么的了，能用就行。

同样，这里也不讨论程序的其它部分，只谈一下同步到饭否的部分。

按照标准的OAuth1.0登录流程应该是这样的：

1、在服务提供方注册一个客户端应用，取得一对consumer_key和consumer_secret；

2、通过调用提供方的oauth request_token取得一个临时token；

3、凭这个临时token和回调地址转向到提供方的authorize页面，用户在这个页面上决定是否授权；

4、用户授权后，提供方转向到回调地址，并提供一个verifier码；

5、凭这个verifier码和临时token调用提供方的oauth access_token取得正式的access_token；

6、使用access_token调用提供方的API。

以上全部调用请求中都必须附上consumer_key/secret，并且加以数字签名。

很明显，比OAuth2.0要复杂很多，还好这个技术已经比较成熟，有很多现成的库可以用。因为我的虚拟主机目前还是只支持PHP4，所以用的是一个可以支持PHP4的库：lib_oauth.php。那个流行的OAuth.php库其实稍微改改也可以，我原来也试过，不过还是觉得用现成的方便些，就换成这个lib_oauth了。

顺便吐槽一句，国内这些网站号称提供API的，个个实现都有妖蛾子，并不像国外网站做得那么规范。尤其以新浪和腾迅为甚，网易和搜狐略好，不过搜狐也有问题，OAuth1.0不支持Head方式，而且对参数也有一些特别的要求。至于饭否，它最妖的地方就是：居然没有 verifier 码！估计是通过时间和IP之类的来鉴定的吧。

好吧，具体到这个应用上来。我需要实现的功能包括两块：一是登录饭否，二是通过饭否API发消息。

首先是按饭否官方方式申请一对key/secret。

然后用类似foursquare登录部分的方式实现一个饭否登录：

用户点一个链接，程序调用request_token并重定向到饭否的authorize，用户确认授权以后回调回来，程序再调用access_token取得正式的access_token（注意：这里没有verifier）并回以保存。

最后，在调用饭否API前用OAuth1.0规范进行请求签名。

具体的登录代码如下：

function fanfou_login() {
    session_start();
    $GLOBALS['user']['fantype'] = 'oauth';

    if ($oauth_token = $_GET['oauth_token']) {  //  来自饭否的回调
        $response = fanfou_process(FANFOU_OAUTH.'access_token');  //  直接申请access_token，与标准不同的是没有verifier
        parse_str($response, $token);
        $GLOBALS['user']['fanpass'] = $token['oauth_token'] .'|'.$token['oauth_token_secret'];
        unset($_SESSION['oauth_request_token_secret']);
        $user = fanfou_process(FANFOU_API.'account/verify_credentials.json');  //  调用一个API功能以验证登录是否成功
        $GLOBALS['user']['fanuser'] = $user->id;
        _user_save_cookie(1);
        header('Location: '.BASE_URL.SF_CALLBACK.'?'.http_build_query(array('redir' => BASE_URL)));
        exit();
    } else {  //  用户选择登录饭否
        $response = fanfou_process(FANFOU_OAUTH.'request_token');  //  取得临时token
        parse_str($response, $token);
        $_SESSION['oauth_request_token_secret'] = $token['oauth_token_secret'];
        $authorise_url = FANFOU_OAUTH.'authorize?oauth_token='.$token['oauth_token']."&oauth_callback=".BASE_URL.FANFOU_CALLBACK;
        header("Location: $authorise_url");  //  转向饭否的authorize页面，请求用户授权
    }
}

取得access_token以后以及取得之前的请求，都需要按规范加入consumer_key/consumer_secret，并加以签名（签名内容包括规范要求的所有字段，不过这部分工作已经由oauth库处理了）。

function fan_oauth_sign(&$url, &$args) {
    require_once 'lib_oauth.php';  //  引用 lib_oauth 库
    $method = $args !== false ? 'POST' : 'GET';
    if (preg_match_all('#[?&]([^=]+)=([^&]+)#', $url, $matches, PREG_SET_ORDER)) {
        foreach ($matches as $match) {
            $args[$match[1]] = $match[2];
        }
        $url = substr($url, 0, strpos($url, '?'));
    }
    if (($oauth_token = $_GET['oauth_token']) && $_SESSION['oauth_request_token_secret']) {
        $oauth_token_secret = $_SESSION['oauth_request_token_secret'];
    } else {
        list($oauth_token, $oauth_token_secret) = explode('|', $GLOBALS['user']['fanpass']);
    }
        $keys = array(
            'oauth_key'        => OAUTH_CONSUMER_KEY,
            'oauth_secret'    => OAUTH_CONSUMER_SECRET,
            'user_key'      => $oauth_token,
            'user_secret'   => $oauth_token_secret,
        );
    $url = oauth_sign_get($keys, $url, $args, $method);  // OAuth1.0签名

    if ($method == 'POST'){
        list($url, $args) = explode('?', $url, 2);
    }else{
        $args = false;
    }
}

function fanfou_process($url, $post_data = false) {
    fan_oauth_sign($url, $post_data);
    $result = api_process($url, $post_data);
    $response = $result['response'];
    $response_info = $result['response_info'];
    //  错误处理及json解码之类，从略……
}

这部分代码看起来比OAuth2.0并没有复杂太多，但这是在使用了oauth库的情况下才有这样的简化。用OAuth2.0的话则不需要依赖别的库就可以实现，而且还要简单。

整个客户端代码下载在Google Code。