OAuth

OpenIDが、あなたは本人ですか？ねぇほんと？ねぇ？的な身元証明の技術であるのに対して、OAuthはこの人に合い鍵渡していい？ねぇ？ほんとにいいの？的な私財へのアクセス許可の技術です。

現在、Twitterの他にもYahooやGoogleのAPIもOAuth認証に対応しています。FlickrもOAuthのベースになってるような認証だった気がするけど、今はどうなんでしょうね。

とりあえずベーシック認証よりは、よっぽどセキュアというわけですが、詳しいメリットや成り立ちなどは、下の参考URLでもご覧くださいまし。

参考：APIアクセス権を委譲するプロトコル、OAuthを知る − ＠IT

そのプロセス

コンシューマー登録

アパートの管理人（サービスプロバイダ ex.Twitter）に、合い鍵収集業者（コンシューマー）として登録し、業者ID ( コンシューマーキーとコンシューマーシークレット ) を得ます。

リクエストトークンの請求

アパートの住人（ユーザー ex.Twitterユーザー）に、合い鍵くれとリクエストを送ります。その際、業者IDをユーザーに渡して、OKなら業者IDを管理人に渡してくれ、と頼みます。

ユーザーの認否

ユーザーは管理人のとこに行って、この業者に合い鍵を渡すかどうかを判断します。（Twitterとの連携サービスとかをやると、良く出てくるアレです。許可・不許可の。）

リクエストトークンの発行

ユーザーがOKを出してくれると、合い鍵業者は、管理人に合い鍵を請求するための委任状（リクエストトークン）をもらえます。

アクセストークンの入手

委任状を手に入れた合い鍵業者は、それを携えて管理人に、そのユーザーの合い鍵（アクセストークン）をもらいに行って、それを受け取ります。

合い鍵が変わったら？

合い鍵はたまに変わってしまうかもしれません。そのとき、合い鍵業者は委任状と前の鍵を持って、もう一度管理人に会いに行きます。委任状が今でも有効なら、新しい合い鍵を受け取れます。すでに無効なら、それは住人が、あなたとの縁を切ったということです。

逆にわかりづらい？

抽象化したら逆に分かりづらい気がする。そうでもないか？まあ、そんな感じでトカゲのしっぽを切れる程度の便利認証でござる。一晩だけの関係とかでもいいわけですよ。合い鍵業者とか訳の分からないことを言わずに、夜這い業者と訳した方が良かったか。

前エントリーで述べたような、HTTPリクエストの実装よりは、よっぽどハマりポイントはありません。仕様に従って作れば一通り問題ありませんでした。OAuthで重要なのは、その意義（使い所）とプロセスを理解することです。

RFC3986の形式でちゃんとエンコードしないとダメとか、そういうのはありますが、コンシューマー側を作る分には、そこまで大変ではありません。サービスプロバイダー側を実装するのは結構面倒くさそうな...。

また普通にソースコードも置いておく

ちょっと古いやつだけど。

$key = 'コンシューマーキー';
$secret = 'コンシューマーシークレット';

$oAuth = new OAuth($key, $secret);

$url = 'APIへのURL';
$params = '連想配列になったパラメーター';
$http_method = 'GETとかPOSTとか';

// これでOAuth用のリクエストを生成します
// アクセストークンとか受け取った後は、
// インスタンス作るときにトークン＆トークンシークレットも渡す感じ
$request = $oAuth->buildRequest($url, $params, 'HMAC-SHA1', $http_method);

後日Tiwtter的なラッパーサンプルも出しておきます。最後にOAuth用の本体をば。

<?php

abstract class OAuth_Consumer
{
    abstract protected function _setUrl();
    abstract protected function httpRequest($url, $params = array(), $http_method = 'GET');

    protected function _parseQuery($query)
    {
        if ( empty($query) ) return false;

        $ary    = explode('&', $query);

        if ( !is_array($ary) ) return false;

        foreach ( $ary as $a ) {
            list($key, $val) = explode('=', $a);
            $parsed[$key]  = $val;
        }

        return !empty($parsed) ? $parsed : false;
    }

    protected function getReqToken()
    {
        if ( !!($this->httpRequest($this->request_token_url)) )
        {
            $token  = $this->_parseQuery($this->response->body);
        }
        if ( !empty($token) )
        {
            $this->oAuth = OAuth::RequestToken($this->oAuth, $token['oauth_token'], $token['oauth_token_secret']);
            return $token;
        }
        return $this->response->body;
    }

    protected function getAcsToken()
    {
        if ( !!($this->httpRequest($this->access_token_url)) )
        {
            $token  = $this->_parseQuery($this->response->body);
        }
        if ( !empty($token) )
        {
            $this->oAuth = OAuth::AccessToken($this->oAuth, $token['oauth_token'], $token['oauth_token_secret']);
            return $token;
        }
        return $this->response->body;
    }
}

class OAuth
{
    protected $version = '1.0';
    protected $base;

    public  $key;
    public  $secret;

    public  $token;
    public  $token_secret;

    public  $callback;
    public  $scope;
    public  $verifier;
    public  $handler;
    public  $display;

    public function __construct($key, $secret, $token = null, $token_secret = null)
    {
        $this->key     = $key;
        $this->secret  = $secret;

        if ( !empty($token) && !empty($token_secret) )
        {
            $this->token        = $token;
            $this->token_secret = $token_secret;
        }
        else
        {
            $this->token        = null;
            $this->token_secret = null;
        }
    }

    static public function RequestToken($consumer, $token, $token_secret)
    {
        return new OAuth_RequestToken($consumer, $token, $token_secret);
    }

    static public function AccessToken($consumer, $token, $token_secret)
    {
        return new OAuth_AccessToken($consumer, $token, $token_secret);
    }

    public function setCallback($url)
    {
        $this->callback = $url;
    }

    public function setScope($scope)
    {
        $this->scope    = $scope;
    }

    public function setVerifier($verifier)
    {
        $this->verifier = $verifier;
    }

    public function setHandler($handler)
    {
        $this->handler  = $handler;
    }

    public function setDisplayName($name)
    {
        $this->display  = $name;
    }

    public function mergeOAuthParams($params, $method)
    {
        $params = array_merge((array)$params, array(
                             'oauth_version'      => $this->version,
                             'oauth_nonce'        => md5(microtime().mt_rand()),
                             'oauth_timestamp'    => time(),
                             'oauth_consumer_key' => $this->key,
                             'oauth_signature_method'   => $method,
                             ));

        if ( !empty($this->token) )
            $params['oauth_token'] = $this->token;

        if ( !empty($this->callback) )
            $params['oauth_callback'] = $this->callback;

        if ( !empty($this->scope) )
            $params['scope'] = $this->scope;

        if ( !empty($this->verifier) )
            $params['oauth_verifier'] = $this->verifier;

        if ( !empty($this->handler) )
            $params['oauth_session_handle'] = $this->handler;

        if ( !empty($this->display) )
            $params['xoauth_dispalay_name'] = $this->display;

        return $params;
    }

    public function buildSignature($url, $params, $method, $http_method = 'GET')
    {
        /**
         * build base strings
         */
        $material   = array(
                            OAuth_Signature::rfc3986($http_method),
                            OAuth_Signature::rfc3986($url),
                            OAuth_Signature::rfc3986($this->_HttpBuildQuery($params)),
                            );

        $this->base = implode('&', $material);

        /**
         * detect signature method
         */
        switch ($method)
        {
            case 'HMAC-SHA1' :
                $signature = OAuth_Signature::hmacSha1($this->base, $this->secret, $this->token_secret);
                return $signature;
            default:
                break;
        }
    }

    public function buildRequest($url, $params, $method, $http_method = 'GET')
    {
        $this->params   = $this->mergeOAuthParams($params, $method);

        $signature      = $this->buildSignature($url, $this->params, $method, $http_method);

        $this->params['oauth_signature']    = $signature;

        $query          = $this->_HttpBuildQuery($this->params);

        return $url.'?'.$query;
    }

    public function _HttpBuildQuery($params)
    {
        while ( list($key, $val) = each($params) ) {
            $key    = OAuth_Signature::rfc3986($key);
            $val    = OAuth_Signature::rfc3986($val);
            $encoded[$key] = $val;
        }

        $params = $encoded;
        ksort($params);

        foreach ( $params as $key => $val ) {
            $queries[] = $key.'='.$val;
        }

        return implode('&', $queries);
    }
}

class OAuth_RequestToken extends OAuth
{
    public function __construct($consumer, $token, $token_secret)
    {
        parent::__construct($consumer->key, $consumer->secret, $token, $token_secret);
    }
}

class OAuth_AccessToken extends OAuth
{
    public function __construct($consumer, $token, $token_secret)
    {
        parent::__construct($consumer->key, $consumer->secret, $token, $token_secret);
    }
}

class OAuth_Signature
{
    static public function hmacSha1($base, $consumer_secret, $token_secret = '')
    {
        $keys   = array(
                        OAuth_Signature::rfc3986($consumer_secret),
                        OAuth_Signature::rfc3986($token_secret),
                        );

        $key    = implode('&', $keys);

        return base64_encode(hash_hmac('sha1', $base, $key, true));
    }
   
    static public function rfc3986($str)
    {
        return str_replace('%7E', '~', rawurlencode($str));
    }
   
    static private function alias_hash_hmac()
    {
        // そのうちhash_hmac関数の代替品を組み込む
    }
}
?>