服务端API的OAuth认证实现

http://stackoverflow.com/questions/12499602/body-joints-angle-using-kinect?rq=1

新浪微博跟update相关的api已经挂了很多天了一直没有恢复正常，返回错误：40070 Error limited application access api!，新浪开放平台的论坛里n多的人都在等这个恢复，新浪官方也相当的恶心出问题了连个公告都没有，既不说什么原因又不说什么时候能恢复，。还是有版主说是api正在升级礼拜1恢复正常今天都礼拜2了还是不行。基于这个原因我的android版的新浪微博客户端已经停工好几天了，刚好是跟update相关的一些功能。

     客户端开发不成了，就自己做做服务端程序，提供类似新浪微博rest api服务， api其实说简单也很简单了，无法是通过链接对外提供json或者xml格式的数据和接收外部提供的数据进去相应的存储、删除、更新等操作。过程中碰到的最麻烦的问题就是OAuth认证功能了，在做android版的新浪微博客户端时候也花了蛮长的时间对OAuth认证进行研究，在客户端原先是采用了oauth-signpost开源项目，后来由于某些原因就放弃了这个开源类库，自己重新写了OAuth认证部分的实现， 现在做服务端的OAuth认证，其实有过做客户端的经验做服务端也差不多，简单的说无非是客户端对参数字符串进行签名然后把签名值传输到服务端，服务端也对同样对参数字符串进行签名，把从客户端传过来的签名值进去比较，简单的说就这么个过程，具体实现肯定比这个要复杂多了，不明真相的同学可以google一下OAuth进行深入的学习研究了。

      服务端程序用asp.net和C#编写了而非java，理由很简单本人对.net更加熟悉。由于想快速的实现效果采用了oauth-dot-net开源项目并没有全部自己写。

      一、首先新建名为Rest Api的ASP.NET Web应用程序，然后添加 oauth-dot-net开源项目相关的几个dll(Castle.Core.dll、Castle.MicroKernel.dll、Castle.Windsor.dll、CommonServiceLocator.WindsorAdapter.dll、Microsoft.Practices.ServiceLocation.dll、OAuth.Net.Common.dll、OAuth.Net.Components.dll、OAuth.Net.ServiceProvider.dll)。

     二、在Web.config文件里添加相应的配置，具体可以参考OAuth.Net.Examples.EchoServiceProvider项目，然后在Global.asax.cs添加如下代码：

public   override   void  Init()
        {
            IServiceLocator injector  =
                 new  WindsorServiceLocator(
                     new  WindsorContainer(
                         new  XmlInterpreter(
                             new  ConfigResource( " oauth.net.components " ))));

            ServiceLocator.SetLocatorProvider(()  =>  injector);

        }

      接下来是比较重要，就是request_token、authorize、access_token的实现，OAuth认证实现的几个过程，不理解可以看android开发我的新浪微博客户端-OAuth篇(2.1) ，具体代码实现很多是参考OAuth.Net.Examples.EchoServiceProvider示例项目。

      三、 首先新建ConsumerStore.cs类，用来存储Consumer信息，由于测试项目所以存储在内存中并没有考虑保存到数据库，真实项目的时候请把相应的Consumer信息保存到数据库中。Consumer信息对应新浪微博其实就是应用的App Key和App Secret，当开发者在新浪微博建一个新的应用获取App Key和App Secret，所以完整的应该还需要一个开发一个提供给第三方开发者申请获取App Key和App Secret的功能页面，这里就不具体实现，直接在代码里写死了一个名为测试应用的Consumer，App Key：2433927322，App Secret：87f042c9e8183cbde0f005a00db1529f，这个提供给客户端测试用。 具体代码如下：

public   sealed   class  ConsumerStore : InMemoryConsumerStore, IConsumerStore
    {
         internal   static   readonly  IConsumer FixedConsumer  =   new  OAuthConsumer( " 2433927322 " ,  " 87f042c9e8183cbde0f005a00db1529f " ,  " 测试应用 " , ConsumerStatus.Valid);

         public  ConsumerStore()
        {
             this .ConsumerDictionary.Add(
                ConsumerStore.FixedConsumer.Key, 
                ConsumerStore.FixedConsumer);
        }

         public   override   bool  Add(IConsumer consumer)
        {
             throw   new  NotSupportedException( " Consumers cannot be added to this store--it is fixed. " );
        }

         public   override   bool  Contains( string  consumerKey)
        {
             return  ConsumerStore.FixedConsumer.Key.Equals(consumerKey);
        }

         public   override   bool  Update(IConsumer consumer)
        {
             throw   new  NotSupportedException( " Consumers cannot be updated in this store--it is fixed. " );
        }

         public   override   bool  Remove(IConsumer consumer)
        {
             throw   new  NotSupportedException( " Consumers cannot be removed from this store--it is fixed. " );
        }

    } 

      四、接下来就是request_token功能，新建RequestTokenHandler.cs ，这个是OAuth.Net.ServiceProvider.RequestTokenHandler子类，并且是httpHandlers所以需要在Web.config中添加httpHandlers配置，这个用来接收客户端程序的请求，返回给客户端程序Request Token和Request Secret用，具体代码如下：

public   sealed   class  RequestTokenHandler : OAuth.Net.ServiceProvider.RequestTokenHandler
    {   
         protected   override   void  IssueRequestToken(HttpContext httpContext, OAuthRequestContext requestContext)
        {
             // 产生RequestToken
            IRequestToken token  =   this .GenerateRequestToken(httpContext, requestContext);

            requestContext.RequestToken  =  token;
            Uri callbackUri;
             if  (Uri.TryCreate(requestContext.Parameters.Callback, UriKind.Absolute,  out  callbackUri))
            {
                 if  ( ! ServiceProviderContext.CallbackStore.ContainsCallback(token))
                {
                     // 保存Callback地址了
                    ServiceProviderContext.CallbackStore.AddCallback(token, callbackUri);
                }
            }
             else
                OAuthRequestException.ThrowParametersRejected( new   string [] { Constants.CallbackParameter },  " Not a valid Uri. " );


             // 把token.Token和token.Secret输出到客户端，
            requestContext.ResponseParameters[Constants.TokenParameter]  =  token.Token;
            requestContext.ResponseParameters[Constants.TokenSecretParameter]  =  token.Secret;
        }

         protected   override  IRequestToken GenerateRequestToken(HttpContext httpContext, OAuthRequestContext requestContext)
        {
            
             return  ServiceProviderContext.TokenGenerator.CreateRequestToken(requestContext.Consumer, requestContext.Parameters);
        }

    } 

      五、 接着是authorize功能，新建名为authorize.aspx的页面，用来给用户输入账号和密码进行授权的页面，这个页面很简单具体如下图，在这个页面中获取用户输入的账户和密码跟数据库中存储的用户账号和密码进行验证，如果验证通过返回之前客户端提供的callback地址，并且给这个地址添加一个校验码，具体代码如下：

public   partial   class  authorize : System.Web.UI.Page
    {
         protected   void  Page_Load( object  sender, EventArgs e)
        {

        }

         protected   void  Button1_Click( object  sender, EventArgs e)
        {
             if  (loginName.Text  ==   " test "   &&  password.Text  ==   " 123 " )
            {
                 string  toke  =  Request.Params[ " oauth_token " ];
                IRequestToken tk  =  ServiceProviderContext.TokenStore.GetRequestToken(toke);
                Uri callback  =  ServiceProviderContext.CallbackStore.GetCalback(tk);
                 string  oauth_verifier  =  ServiceProviderContext.VerificationProvider.Generate(tk);
                Response.Redirect(callback.ToString()  +   " ?oauth_verifier= "   +  oauth_verifier);
            }
            
        }

    } 

     六、接下来就是access_token功能，新建AccessTokenHandler.cs ， 这个是OAuth.Net.ServiceProvider.AccessTokenHandler子类，并且是httpHandlers所以需要在Web.config中添加httpHandlers配置，这个用来接收客户端程序的请求，返回给客户端程序Access Token和Access Secret用，具体代码如下：

public   sealed   class  AccessTokenHandler : OAuth.Net.ServiceProvider.AccessTokenHandler
    {
         protected   override   void  IssueAccessToken(HttpContext httpContext, OAuthRequestContext requestContext)
        {
             // 产生access token
            IAccessToken accessToken  =   this .GenerateAccessToken(httpContext, requestContext);

            accessToken.Status  =  TokenStatus.Authorized;

             //  把accessToken和accessSecret输出到客户端，
            requestContext.ResponseParameters[Constants.TokenParameter]  =  accessToken.Token;
            requestContext.ResponseParameters[Constants.TokenSecretParameter]  =  accessToken.Secret;
        }

         protected   override  IAccessToken GenerateAccessToken(HttpContext httpContext,  OAuthRequestContext requestContext)
        {
             return  ServiceProviderContext.TokenGenerator.CreateAccessToken(requestContext.Consumer, requestContext.RequestToken);
        }
    }

public   class  TokenGenerator : ITokenGenerator
    {
         internal   static   readonly  IRequestToken FixedRequestToken  =   new  OAuthRequestToken( " requestkey " ,
             " requestsecret " ,
            ConsumerStore.FixedConsumer,
            TokenStatus.Authorized,
             null ,
            ServiceProviderContext.DummyIdentity,
             new   string [] { });

         internal   static   readonly  IAccessToken FixedAccessToken  =   new  OAuthAccessToken(
             " accesskey " ,
             " accesssecret " ,
            ConsumerStore.FixedConsumer,
            TokenStatus.Authorized,
            TokenGenerator.FixedRequestToken);

         public  IRequestToken CreateRequestToken(IConsumer consumer, OAuthParameters parameters)
        {
             return  TokenGenerator.FixedRequestToken;
        }

         public  IAccessToken CreateAccessToken(IConsumer consumer, IRequestToken requestToken)
        {
             return  TokenGenerator.FixedAccessToken;
        }
    }

public   class  TokenStore : InMemoryTokenStore, ITokenStore
    {
         public  TokenStore()
        {
             this .RequestTokenDictionary.Add(
                TokenGenerator.FixedRequestToken.Token,
                TokenGenerator.FixedRequestToken);

             this .AccessTokenDictionary.Add(
                TokenGenerator.FixedAccessToken.Token,
                TokenGenerator.FixedAccessToken);
        }

         public   override   bool  Add(IRequestToken token)
        {
             throw   new  NotSupportedException( " Tokens cannot be added to the token store--it is fixed. " );
        }

         public   override   bool  Add(IAccessToken token)
        {
             throw   new  NotSupportedException( " Tokens cannot be added to the token store--it is fixed. " );
        }

         public   override   bool  Update(IRequestToken token)
        {
             throw   new  NotSupportedException( " Tokens cannot be updated in the token store--it is fixed. " );
        }

         public   override   bool  Update(IAccessToken token)
        {
             throw   new  NotSupportedException( " Tokens cannot be updated in the token store--it is fixed. " );
        }

         public   override   bool  Remove(IRequestToken token)
        {
             throw   new  NotSupportedException( " Tokens cannot be removed from the token store--it is fixed. " );
        }

         public   override   bool  Remove(IAccessToken token)
        {
             throw   new  NotSupportedException( " Tokens cannot be removed from the token store--it is fixed. " );
        }

    } 

 这样就完成了一个最最简单小型的服务端OAuth认证，然后用android客户端进行测试ok通过。

     注意点：

     一、android模拟器访问本地服务地址为10.0.2.2，比如http://localhost:3423/authorize.aspx在模拟器中用http://10.0.2.2:3423/authorize.aspx。

     二、OAuth.Net类库的OAuth.Net.Common项目中的interface ICallbackStore 添加了一个Uri GetCalback(IRequestToken token);并且在具体的实现类InMemoryCallbackStore添加了实习代码：

          public Uri GetCalback(IRequestToken token)

        {

            lock (this.callbackStore)

            {

                if (this.callbackStore.ContainsKey(token))

                {

                    return this.callbackStore[token];

                }

                else

                {

                    return null;

                }

            }

        }

 

       三、为了能用我前面做的给新浪用的android客户端，对于类库源代码AccessTokenHandler的ParseParameters方法做了如下修改，因为新浪请求api的时候都会加一个source的参数：

            protected virtual void ParseParameters(HttpContext httpContext, OAuthRequestContext requestContext)

        {

            .......

            parameters.AllowOnly(

                    Constants.ConsumerKeyParameter,

                    Constants.TokenParameter,

                    Constants.SignatureMethodParameter,

                    Constants.SignatureParameter,

                    Constants.TimestampParameter,

                    Constants.NonceParameter,

                    Constants.VerifierParameter,

                    Constants.VersionParameter, // (optional)

                    Constants.RealmParameter, // (optional)

                    "source");

 

            ......

        }