Italiano
Español
RomânăКак использовать OAuth аутентификацию с REST API через CURL команды?
Я пытаюсь использовать WordPress Rest Api с аутентификацией для получения дополнительных данных через API. Я установил плагин OAuth, плагин rest-api и получил учетные данные API через WP-CLI.
Я разобрался, как получить доступ к данным без авторизации. Это работает:
// установка конечной точки
$domain = "http://localhost/wp-api";
$endpoint = $domain."/wp-json/wp/v2/posts/";
$curl = curl_init($endpoint);
curl_setopt_array($curl, [
CURLOPT_RETURNTRANSFER => true,
CURLOPT_URL => $endpoint,
]);
$response = curl_exec($curl);
$decoderesponse = json_decode($response, true);
?>
<pre>
<?php print_r($decoderesponse); ?>
</pre>Но я не могу разобраться, как пройти аутентификацию с учетными данными. Вот моя попытка. Я не уверен, правильно ли использую "key" и "secret".
// Учетные данные OAuth из wp-cli
$ID = "4";
$Key = "l8XZD9lX89kb";
$Secret = "UUbcc8vjUkGjuDyvK1gRTts9sZp2N8k9tbIQaGjZ6SNOyR4d";
// установка конечной точки
$domain = "http://localhost/wp-api";
$endpoint = $domain."/wp-json/wp/v2/posts/1/revisions";
$headers[] = "key=$Key";
$headers[] = "secret=$Secret";
$curl = curl_init($endpoint);
curl_setopt_array($curl, [
CURLOPT_HTTPHEADER => $headers,
CURLOPT_RETURNTRANSFER => true,
CURLOPT_URL => $endpoint,
]);
$response = curl_exec($curl);
$decoderesponse = json_decode($response, true);
?>
<pre>
<?php print_r($decoderesponse); ?>
</pre>Вывод следующий:
Array
(
[code] => rest_cannot_read
[message] => Извините, вы не можете просматривать ревизии этой записи.
[data] => Array
(
[status] => 401
)
)
Как можно это исправить? Спасибо.
Давайте разберёмся пошагово. Похоже, вы пытаетесь использовать OAuth только для аутентификации, но прежде чем это сделать, вам нужно получить Access Token, который будет использоваться для аутентификации при вызовах API.
Поскольку здесь используется OAuth версии 1, чтобы получить Access Token, необходимо выполнить следующие шаги:
- Сначала настройте приложение, выполните запрос к сайту для получения Request Token (временных учётных данных), используя Client ID и Secret для приложения.
- Затем выполните запрос к сайту для авторизации приложения с Request Token, полученным на первом шаге (этот шаг требует взаимодействия с пользователем, см. ниже).
- После завершения авторизации выполните запрос к сайту для получения Access Token (теперь, когда приложение авторизовано).
Я рекомендую использовать Postman для первых шагов, так как их нужно выполнить всего один раз. Postman также автоматически сгенерирует timestamp, nonce и oauth signature, поэтому если вы не используете библиотеку OAuth, Postman будет идеальным выбором. Как только у вас будет Access Token, вы сможете делать запросы через CURL без дополнительных библиотек.
Первый шаг (настройка приложения)
Установите плагин WP OAuth 1, активируйте его, затем перейдите в меню Пользователи > Приложения. Добавьте новое приложение, укажите имя и описание. Для callback укажите URL для перенаправления пользователя после авторизации или используйте oop для Out-of-Band потока, который перенаправит на внутреннюю страницу с отображением верификационного токена (вместо перенаправления).
https://github.com/WP-API/OAuth1/blob/master/docs/basics/Registering.md
Для перехода ко второму шагу необходимо выполнить запрос к вашему сайту, используя Client ID и Client Secret из созданного приложения, чтобы получить временные учётные данные (Request Token).
Откройте Postman, создайте новый запрос на http://website.com/oauth1/request, перейдите на вкладку Authorization, выберите OAuth 1.0 из выпадающего списка, введите Client Key, Client Secret, установите метод подписи HMAC-SHA1, включите "add params to header", encode oauth signature, затем нажмите Update Request.
Postman автоматически сгенерирует подпись, nonce и timestamp, добавив их в заголовки (их можно просмотреть на вкладке Headers).
Нажмите Send, и вы должны получить ответ, содержащий oauth_token и oauth_token_secret:
Эти значения будут использоваться на следующем шаге для авторизации приложения под вашей учётной записью WordPress.
Второй шаг (авторизация приложения)
Шаг авторизации нужно выполнить только один раз. Этот шаг требует взаимодействия с пользователем и знаком всем, кто когда-либо авторизовывал приложения. Он необходим, потому что вы используете OAuth1, и приложение должно быть связано с учётной записью WordPress. Представьте, как сайты предлагают войти через Facebook — вас перенаправляют на Facebook, где вы входите и нажимаете "Авторизовать". То же самое нужно сделать, но через ваш сайт WordPress.
Я рекомендую использовать веб-браузер для этого шага, так как вы можете легко задать переменные в URL, и это отобразит страницу "Авторизовать" для подтверждения приложения.
Откройте браузер и введите URL вашего сайта, например:
http://website.com/oauth1/authorize
Теперь добавьте к этому URL параметры oauth_consumer_key (Client ID), oauth_token и oauth_token_secret (из предыдущего шага). В моём примере полный URL выглядит так:
http://website.com/oauth1/authorize?oauth_consumer_key=TUPFNj1ZTd8u&oauth_token=J98cN81p01aqSdFd9rjkHZWI&oauth_token_secret=RkrMhw8YzXQljyh99BrNHmP7phryUvZgVObpmJtos3QExG1O
После нажатия на "Авторизовать" вы увидите экран с верификационным токеном. В моём примере возвращённый токен — E0JnxjjYxc32fMr2AF0uWsZm.
Третий шаг (получение Access Token)
Теперь, когда приложение авторизовано, нужно выполнить последний запрос для получения Access Token, который будет использоваться для всех вызовов API. Как и в первом шаге, я буду использовать Postman (так как требуется подпись HMAC-SHA1), что значительно упрощает процесс.
Снова откройте Postman и измените URL на http://website.com/oauth1/access.
Убедитесь, что добавлены Token и Token Secret (значения из первого шага), затем нажмите Params, чтобы отобразить поля под URL. Слева введите oauth_verifier, а справа — код из второго шага, Verification Token.
Обязательно нажмите Update Request, затем Send, и вы получите ответ с oauth_token и oauth_token_secret... это именно то, что нужно для вызовов API! Отбросьте значения из первого шага и сохраните эти в коде или в безопасном месте.
Теперь вы можете делать API-запросы к вашему сайту, передавая в заголовках полученные токен и секрет.
Вы можете передавать их разными способами: через заголовок Authorization, в GET-параметрах или POST (если закодировано как application/x-www-form-urlencoded). Учтите, что вы ДОЛЖНЫ передавать подпись, timestamp и nonce. Я не осознавал, насколько длинным получится этот ответ, поэтому завтра добавлю примеры кода.
Настоятельно рекомендую установить Rest API log, чтобы просматривать журнал API-вызовов и анализировать отправленные и полученные данные. Это очень поможет в отладке.
Я знаю, что есть много туториалов с Postman и подобными инструментами, но я не могу найти ни одного руководства, которое бы полностью описывало процесс с использованием функций CURL, то есть на чистом PHP-коде. Именно это мне и нужно.
James Vu
@Dan9 Честно говоря, это не совсем возможно... по крайней мере, не с OAuth1, в основном потому, что вам необходимо АВТОРИЗОВАТЬ приложение под учетной записью пользователя. Все остальные шаги легко выполнить с помощью CURL, проблема заключается в использовании CURL для входа в систему как пользователь WordPress (что означает необходимость хранить учетные данные в вашем PHP-файле, что НЕ является хорошей идеей), А ТАКЖЕ для авторизации приложения. Вы могли бы модифицировать код OAuth1, но, честно говоря, если вы хотите использовать CURL для ВСЕГО... вы мыслите неправильно и вам следует придумать другое решение или метод.
sMyles
@Dan9 Для того, что вы пытаетесь сделать, вам следует использовать OAuth2 сервер вместо OAuth1, в основном потому, что OAuth2 имеет новые функции, включая тип предоставления Client Credential, который позволяет избежать необходимости проходить все эти шаги http://bshaffer.github.io/oauth2-server-php-docs/grant-types/client-credentials/
sMyles
@Dan9 если ты твёрдо решил получить помощь по реализации этого через OAuth1 с использованием CURL, я думаю, что это возможно с несколькими хакерами кода, но, как я уже упоминал, это означает, что тебе придётся сохранять ИМЯ ПОЛЬЗОВАТЕЛЯ и ПАРОЛЬ пользователя в PHP-файле. Если тебя это устраивает, дай знать, и я напишу руководство по реализации с помощью CURL, не хочу тратить время на написание туториала, если ты собираешься использовать OAuth2 или больше не нуждаешься в этом
sMyles
@Dan9 ну... в этом-то и дело... если ты собираешься использовать OAuth1, тебе придётся привязать учётную запись пользователя WordPress. По сути, считай Access Token как API-ключ... этот "API-ключ" должен быть связан с учётной записью пользователя... теперь, будешь ли ты использовать какой-то стандартный аккаунт, который ты настроил, решать тебе... но в любом случае при использовании OAuth1 он ДОЛЖЕН быть связан с учётной записью пользователя, отсюда и длительный процесс получения токена доступа.
sMyles
Как я могу получить Client ID и Client secret и связать их с действительным пользователем? В настоящее время только администраторы могут создавать новое приложение, и это делается только через панель администратора. Кстати, я попытался сгенерировать oauth_signature, как вы сказали, но, почему-то, ответ всегда json_oauth1_signature_mismatch.
James Vu
@Dan9 да, это верно, администраторы должны создавать приложение, иначе это создало бы огромную проблему безопасности, позволяя создавать приложения анонимным пользователям. Вот несколько сайтов по теме подписи: http://wordpress.stackexchange.com/questions/185511/oauth-signature-does-not-match https://github.com/WP-API/OAuth1/issues/34 https://github.com/WP-API/OAuth1/issues/27
sMyles