程式師世界 >> 編程語言 >> JAVA編程 >> 關於JAVA >> 應用Java開辟完成OAuth平安認證的運用

應用Java開辟完成OAuth平安認證的運用

編輯：關於JAVA

應用Java開辟完成OAuth平安認證的運用。本站提示廣大學習愛好者：（應用Java開辟完成OAuth平安認證的運用）文章只能為提供參考，不一定能成為您想要的結果。以下是應用Java開辟完成OAuth平安認證的運用正文

OAuth 簡介
OAuth 是由 Blaine Cook、Chris Messina、Larry Halff 及 David Recordon 配合提議的，目標在於為 API 拜訪受權供給一個平安、開放的尺度。
基於 OAuth 認證受權具有以下特色：
平安。OAuth 與其余受權方法分歧的地方在於：OAuth 的受權不會使花費方（Consumer）觸及到用戶的帳號信息（如用戶名與暗碼），也是是說，花費方無需應用用戶的用戶名與暗碼便可以請求取得該用戶資本的受權。
開放。任何花費方都可使用 OAuth 認證辦事，任何辦事供給方 (Service Provider) 都可以完成本身的 OAuth 認證辦事。
簡略。不論是花費方照樣辦事供給方，都很輕易於懂得與應用。
OAuth 的處理計劃以下圖所示。
圖 1. OAuth Solution

如圖 1 所示 OAuth 處理計劃頂用戶、花費方及其辦事供給方之間的三角關系：當用戶須要 Consumer 為其供給某種辦事時，該辦事觸及到須要從辦事供給方那邊獲得該用戶的掩護資本。OAuth 包管：只要在用戶顯式受權的情形下（步調 4），花費剛剛可以獲得該用戶的資本，並用來辦事於該用戶。
從微觀條理來看，OAuth 按以下方法任務：
花費方與分歧的辦事供給方樹立了關系。
花費方同享一個暗碼短語或許是公鑰給辦事供給方，辦事供給方應用該公鑰來確認花費方的身份。
花費方依據辦事供給方將用戶重定向到登錄頁面。
該用戶登錄後告知辦事供給方該花費方拜訪他的掩護資本是沒成績的。
回頁首
OAuth 認證受權流程
在懂得 OAuth 認證流程之前，我們先來懂得一下 OAuth 協定的一些根本術語界說：

Consumer Key：花費方關於辦事供給方的身份獨一標識。
Consumer Secret：用來確認花費方關於 Consumer Key 的具有關系。
Request Token：取得用戶受權的要求令牌，用於交流 Access Token。
Access Token：用於取得用戶在辦事供給方的受掩護資本。
Token Secret：用來確認花費方關於令牌（Request Token 和 Access Token）的具有關系。

圖 2. OAuth 受權流程（摘自 OAuth 標准）

關於圖 2 詳細每履行步調，說明以下：
花費偏向 OAuth 辦事供給方要求未受權的 Request Token。
OAuth 辦事供給方在驗證了花費方的正當要求後，向其發表未經用戶受權的 Request Token 及其絕對應的 Token Secret。
花費方應用獲得的 Request Token，經由過程 URL 引誘用戶到辦事供給方那邊，這一步應當是閱讀器的行動。接上去，用戶可以經由過程輸出在辦事供給方的用戶名 / 暗碼信息，受權該要求。一旦受權勝利，轉到下一步。
辦事供給方經由過程 URL 引誘用戶從新回到花費方那邊，這一步也是閱讀器的行動。
在取得受權的 Request Token 後，花費方應用受權的 Request Token 從辦事供給方那邊換取 Access Token。
OAuth 辦事供給方贊成花費方的要求，並向其發表 Access Token 及其對應的 Token Secret。
花費方應用上一步前往的 Access Token 拜訪用戶受權的資本。
總的來說，在 OAuth 的技巧系統裡，辦事供給方須要供給以下根本的功效：
第 1、完成三個 Service endpoints，即：供給用於獲得未受權的 Request Token 辦事地址，獲得用戶受權的 Request Token 辦事地址，和應用受權的 Request Token 換取 Access Token 的辦事地址。
第 2、供給基於 Form 的用戶認證，以便於用戶可以登錄辦事供給方做出受權。
第 3、受權的治理，好比用戶可以在任什麼時候候撤消曾經做出的受權。
而關於花費方而言，須要以下的根本功效：
第 1、從辦事供給方獲得 Customer Key/Customer Secret。
第 2、供給與辦事供給方之間基於 HTTP 的通訊機制，以換取相干的令牌。

OAuth的受權流程

你所開辟的運用須要流程以下：

向運用辦事商（新浪、搜狐等微博）要求request_token。
獲得request_token後重定向用戶到辦事商的受權頁面。
假如用戶選擇受權你得運用，用request_token向辦事商要求換取access_token。
獲得access_token等信息拜訪受限資本。

而辦事商響應的呼應以下：

創立request_token前往給運用。
訊問用戶能否受權此運用。假如用戶受權重定向用戶至運用頁面。
創立access_token並前往給運用。
呼應受限資本要求並前往相干信息。
淺顯點的說法就是“你拿著你得身份證實（request_token）向辦事商請求進入用戶家的門鑰匙（access_token），辦事商訊問用戶同分歧意，假如用戶贊成辦事商就給你進入用戶家門的鑰匙（access_token），拿到鑰匙後你便可以進到用戶家裡”。

OAuth受權的Java完成

作為一個開放協定今朝有許多現成的Oauth庫可供開辟者應用，可以點擊這裡下載。不外有精神有時光的話照樣本身去完成一下OAuth受權的流程，可以很好的領會OAuth認證協定的道理。以下就是我應用Java完成Oauth的詳細步調，代碼很簡略，假如有弄巧成拙的處所還望高手一笑而過。

1、獲得Request_token

起首得預備一下參數及其起源：

oauth_consumer_key —— 注冊運用後由運用辦事商供給
consumer_secret —— 注冊運用後由運用辦事商供給
oauth_callback —— 用戶受權後的前往地址
oauth_nonce —— 隨機字符串，須包管每次都分歧
oauth_timestamp —— 時光戳
oauth_signature_method —— 簽名base string 的辦法，今朝支撐 HMAC-SHA1
oauth_version —— Oauth協定版本

還須要上面三個要求地址（這些地址任何一個供給OAuth的辦事商都邑供給給你，看下API文檔就會找到）：

requst_token_url —— 下面第1步中的要求地址
authorize_url —— 下面第2步的要求地址
access_token_url —— 下面第3步的要求地址

至於若何注冊運用，新浪微博、騰訊微博等等的網站上都有，這裡就不再具體解釋了。注冊勝利後就會取得oauth_consumer_key 和 consumer_secret 兩個參數。

oauth_callback 起的感化是當用戶受權勝利後辦事商會把用戶重定向到這個網址。

oauth_nonce 是一個隨機字符串上面是我的生成代碼：

public String set_nonce() {
String base = "abcdefghijklmnopqrstuvwxyz0123456789";
Random random = new Random();
StringBuffer sb = new StringBuffer();
for (int i = 0; i < 18; i++) {
int number = random.nextInt(base.length());
sb.append(base.charAt(number));
}
return sb.toString();
}

oauth_timestamp 是要求的時光戳，我的代碼以下：

public String set_timestamp() {

Date date = new Date();
long time = date.getTime();
return (time + "").substring(0, 10);
}

須要解釋一下的是這裡的時光戳為10位而不是13位，是以截取0-10地位。

其他參數直接指定就好了。

接上去，有了這些參數便可以組裝base string了。預備base string的目標就是為了獲得 oauth_signature 這個參數，這個參數向辦事商發送要求的時刻須要用到。

組裝的辦法是用上面8部門

POST（也能夠是GET，取決於你運用辦事商支撐哪一個）。

Urlencode以後的requst_token_url 。
oauth_callback=Urlencode以後你的oauth_callback（Urlencode的參數為“utf-8”）。
oauth_consumer_key = 你的oauth_consumer_key
oauth_nonce = 你的oauth_nonce
oauth_signature_method = 你的 oauth_signature_method
oauth_timestamp = 你的oauth_timestamp
oauth_version = “1.0”——今朝年夜多半OAuth都采取的是1.0或1.0a版本。

須要留意的是下面除1跟2外其他參數的格數形如： abc=“abc” ，然後先將下面1和2部門用&號相連獲得串A、3-8部門用&相連獲得串B，上面須要將串B再停止一次Urlencode獲得串C,最初將A跟C以&號相連就獲得了base string。這個進程中 oauth_callback 本質上經由了兩次 Urlencode ，組裝base string長短常輕易失足的，一不當心丟一個引號或許格局稍有纰謬就會失足。

上面是我的Java完成代碼：

public String set_basestring() throws UnsupportedEncodingException {
String bss;
bss = oauth_request_method + "&"
+ URLEncoder.encode(requst_token_url, "utf-8") + "&";
String bsss = "oauth_callback="
+ URLEncoder.encode(oauth_callback, "utf-8")
+ "&oauth_consumer_key=" + oauth_consumer_key + "&oauth_nonce="
+ oauth_nonce + "&oauth_signature_method="
+ oauth_signature_method + "&oauth_timestamp="
+ oauth_timestamp + "&oauth_version=" + oauth_version;
bsss = URLEncoder.encode(bsss, "utf-8");
return bss + bsss;
}

有了base string便可以簽名生成oauth_signature這個參數，oauth_signature會在要求request_token的時刻用到。簽名算法是HMAC-SHA1，簽名的key就是最開端的consumer_secret後加一個&號，簽名算法代碼以下：

public String hmacsha1(String data, String key) {
byte[] byteHMAC = null;
try {
Mac mac = Mac.getInstance("HmacSHA1");
SecretKeySpec spec = new SecretKeySpec(key.getBytes(), "HmacSHA1");
mac.init(spec);
byteHMAC = mac.doFinal(data.getBytes());
} catch (InvalidKeyException e) {
e.printStackTrace();
} catch (NoSuchAlgorithmException ignore) {
}
String oauth = new BASE64Encoder().encode(byteHMAC);
return oauth;
}

外面用的的BASE64Encoder這個類可以Google一個。

獲得oauth_signature後就要開端向 requst_token_url 發送要求了，OAuth標准界說了三種傳遞OAuth參數方法：

httpheader中
url中
post form中

國際各年夜微博的支撐情形是：新浪Httpheader可用,網易Httpheader可用，騰訊只支撐在url，搜狐因為沒有appkey所以還沒去測驗考試。

假如應用Httpheader傳遞參數頭名為“Authorization”，值為上面的格局，將值改成本身運用的。

OAuth oauth_nonce="9zWH6qe0qG7Lc1telCn7FhUbLyVdjEaL3MO5uHxn8", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1272323047", oauth_consumer_key="GDdmIQH6jhtmLUypg82g", oauth_token="8ldIZyxQeVrFZXFOZH5tAwj6vzJYuLQpl0WUEYtWc", oauth_verifier="pDNg57prOHapMbhv25RNf75lVRd6JDsni1AJJIDYoTY", oauth_signature="PUw%2FdHA4fnlJYM6RhXk5IU%2F0fCc%3D", oauth_version="1.0"

url和post form兩種方法的參數名和參數值也即下面的，完整一樣。

要求發送勝利後就會獲得的呼應以下：

oauth_token=8ldIZyxQeVrFZXFOZH5tAwj6vzJYuLQpl0WUEYtWc&oauth_token_secret=x6qpRnlEmW9JbQn4PQVVeVG8ZLPEx6A0TOebgwcuA&oauth_callback_confirmed=true

可以看到呼應外面曾經包括oauth_token和oauth_token_secret了，存貯之以備前面應用。

2、用戶認證

拿到了oauth_token以後就須要用戶對此oauth_token受權，也即對你的運用受權，詳細做法就是發送oauth_token到辦事商並要求用戶對此oauth_token受權：完成辦法為以oauth_token和oauth_callback為參數要求oauthorize_url，Servlet中的代碼以下：

resp.sendRedirect(oauthorize_url+"?oauth_token="+oauth_token+"&oauth_callback="+oauth_callback);

這是用戶就被帶到了運用受權頁面，並可以選擇能否對該運用受權。假如用戶受權以後就會被帶到oauth_callback 地址。同時假如須要辦事商會給oauth_callback返會一個名為oauth_verifier的參數（此參數用於沒法跳轉的桌面運用，紛歧定每一個微博平台都邑前往），這時候候我們的oauth_token曾經取得用戶的受權了。

3、用oauth_token換取access_token

這一步跟第一步“獲得Request_token”根本雷同，也是須要預備 base string 對其簽名，然後發送要求，可以參考第一步的代碼完成：然則響應的參數有所不消，詳細來說就是第一步組裝base string 時刻8個部門中第二個部門中的url換為access_token_url 並去失落oauth_callback加上oauth_token（假如有oauth_verifier的話也須要一並加上），組裝好以後須要簽名以獲得oauth_signature，本次簽名的辦法跟前次一樣，然則key變成consumer_secret和oauth_token_secret以&銜接的串。

上去須要向access_token_url發送要求，要求參數包含base string 裡的除要求辦法（POST或GET）和要求地址外的一切參數及其值和簽名後生成的oauth_signature。例子以下：

OAuth oauth_nonce="9zWH6qe0qG7Lc1telCn7FhUbLyVdjEaL3MO5uHxn8", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1272323047", oauth_consumer_key="GDdmIQH6jhtmLUypg82g", oauth_token="8ldIZyxQeVrFZXFOZH5tAwj6vzJYuLQpl0WUEYtWc", oauth_verifier="pDNg57prOHapMbhv25RNf75lVRd6JDsni1AJJIDYoTY", oauth_signature="PUw%2FdHA4fnlJYM6RhXk5IU%2F0fCc%3D", oauth_version="1.0""

要求勝利會辦事商就會前往oauth_token和oaut_token_secret，這裡的oauth_token和oaut_token_secret就是真正拜訪資本要用的access_token。

還須要解釋的是以上進程只須要經行一次，就是說你拿到的access_token是不會過時的，除非用戶手動將受權發出，是以作為access_token的oauth_token和oaut_token_secret要保留起來，今後拜訪受限資本的時刻可以直接應用。至於若何拜訪受限資本，等今後有時光了再補上。