Aliexpress API 授权流程整理_.NET_编程开发_程序员俱乐部

中国优秀的程序员网站程序员频道CXYCLUB技术地图
热搜:
更多>>
 
您所在的位置: 程序员俱乐部 > 编程开发 > .NET > Aliexpress API 授权流程整理

Aliexpress API 授权流程整理

 2013/8/24 16:54:18  xling  博客园  我要评论(0)
  • 摘要:前言我零零总总用了好几个月的时间,写了一个自用的小程序,从Aliexpress上抓取订单的小程序。刚开始写的时候,该API还没有开放,而且没有订单相关的功能。我完全是通过模拟用户在网页上的操作来做的:获取网页源码,用正则取数据,然后组装到本地数据库。期间经历过Ali的数次微调,每次微调,我都要耗费几个小时做程序上的调整,最大的改动就是Ali弄个新的和老的订单展示页并存的时候。最难的部分当数用户登陆部分,一次登陆,需要跨几个域,收集这几个域返回的Cookie,收集好几个ajax返回的结果
  • 标签:API 流程 授权

前言

我零零总总用了好几个月的时间,写了一个自用的小程序,从 Aliexpress 上抓取订单的小程序。刚开始写的时候,该API还没有开放,而且没有订单相关的功能。我完全是通过模拟用户在网页上的操作来做的:获取网页源码,用正则取数据,然后组装到本地数据库。

 期间经历过Ali 的数次微调,每次微调,我都要耗费几个小时做程序上的调整,最大的改动就是Ali 弄个新的 和 老的 订单展示页并存的时候。

 最难的部分当数用户登陆部分,一次登陆,需要跨几个域,收集这几个域返回的 Cookie,收集好几个ajax返回的结果. Cookie 的问题,我用同一个 CookieContainer 解决了,但是 ajax 的,我还得老老实实的每个每个的按顺序去请求。

 前两天,Ali 搞了一个小飞机,某状态下没有订单,分页居然有 2147483648 页,一看就是溢出了,正当我准备调整程序的时候,他们又神一般的把这个问题修复了。

 数月前,我就申请成开发者账户,而且通过了,只是一直没有去研究。通过这次小飞机后,我决定,改用API获取订单数据,不在从网页抓取了。

 

开始

首先要注册成为开发者:

http://gw.api.alibaba.com/isv/index.htm

 注册成功后,会分配给你一个应用的唯一标志:

其中:

Key 即为API 中说的 YOUR_APPKEY

签名串 即为 API 中说的YOUR_APPSECRET

 

API 说明可以打开如下地址:

http://gw.api.alibaba.com/dev/doc/sys_auth.htm?ns=aliexpress.open

 

获取授权步骤:

发起授权请求,用户同意授权后,返回 临时授权码,这里称为 Code

该步骤请求如下地址:

http://gw.api.alibaba.com/auth/authorize.htm?client_id=xxx&site=aliexpress&redirect_uri=urn:ietf:wg:oauth:2.0:oob

client_id 要填写 APPKEY

redirect_uri 是同意授权后回调的地址,因为我写的是客户端,不是WEB应用,所以当然没有回调地址,所以就用这个:urn:ietf:wg:oauth:2.0:oob

 

在请求之前,需要把上面的地址进行签名,把签名的值做为参数:_aop_signature的值,加到上面的地址里,一起请求,签名说明如下:

 

参数签名(_aop_signature)为所有参数key + value 字符串拼接后排序,把排序结果拼接为字符串data后通过bytesToHexString(HAMC-RSA1(data, appSecret))计算签名。验证签名的方式为对参数执行同样的签名,比较传入的签名结果和计算的结果是否一致,一致为验签通过。

注:只有客户端和WEB端授权流程发起授权请求这一步使用参数签名串组装规则,只用url请求参数作为签名因子;其他签名均需加入urlPath作为额外因子(见API签名串组装规则)。

Ali 给出了签名算法C#示例:

http://gw.api.alibaba.com/dev/tools/app_signature.html

 

二,获取授权码

获取到临时码后,需要用 临时授权码 交换 授权码,所有的API都是通过授权码进行操作的

 

授权码获取地址:

https://gw.api.alibaba.com/openapi/http/1/system.oauth2/getToken/{0}?grant_type=authorization_code&need_refresh_token=true&client_id={1}&client_secret={2}&redirect_uri=urn:ietf:wg:oauth:2.0:oob&code={3}

 

其中:

{0}处和{1}处填写 APPKEY

{2} 处填写 APPSECRET

{3}处填写上一步获取到的那个临时授权码 Code

 

need_refresh_token 如果为 false 的话,不会返回用于刷新授权码的刷新码(我叫它刷新码).

 

返回的结果如下:

{"aliId":"xxx","resource_owner":"xxx","expires_in":"36000","refresh_token":"xxx","access_token":"xxx"}

 

expires_in 是授权码的过期时间(秒),10个小时 (60 x 60 x 10)。如果过了10小时,就需要刷新授权码。

refresh_token 是后面需要用的刷新码

access_token 即新的授权码

 

三,刷新授权令牌

授权令牌自生成时间起,会在10小时后过期,这时如果在访问API,返回的是401 未授权。当该状况发生时,需要刷新授权令牌。刷新授权令牌 不需要 重新获取 临时码

 

请求地址:

https://gw.api.alibaba.com/openapi/param2/1/system.oauth2/getToken/{0}

POST 如下数据:

grant_type 值为固定的 refresh_token

client_id 值为 APPKEY

client_secret 值为APPSECRET

refresh_token 即上一步中获取的令牌中的刷新码(refhreshToken)

 

刷新授权令牌 得到的结果 和用 临时授权码 得到的 授权令牌 大致一致,但是少了刷新码,因为刷新码的有效期为半年。

其它说明

令牌的刷新码(refreshToken),在API文档中,说是半年有效期,但是在令牌中并没有关于刷新码的过期时间信息。

授权令牌的有效期为10分钟,也就是说即使你退出了应用,重新打开,只要你能复现这个授权令牌,在10分钟内,是不需要重新授权,重新获取授权码的。

所以,在用临时码或刷新码获取到授权码后,应该把相关信息存起来,以便下次使用,因为从本文最上面的图片中可以看到,API 每日最大的调用次数为 1W 次。

业务逻辑和结构逻辑分离

不知道我这样说有没有什么不妥。

API的每个方法调用都需要有授权令牌。但是如果在这些方法里都加上相关的 是否以授权,是否有授权令牌 的判断代码,相信连你自己都觉得不妥。

这里,我管API方法的调用叫业务逻辑,判断是否授权等叫结构逻辑。

做过MVC的一定知道,ActionFilter 很好用,可以将和业务无关的逻辑分离出来,但是C# 并没有原生的类似ActoinFilter 的东西。查了一下,有个叫PostSharp 的东西,但是这个东西不免费。

我之前用过EntLib ,对里面的 PIAB (策略注入 Policy Injecton) 了解一点点,但是仅局限于用配置文件做。因为这里的目的很明确:判断是否有授权,用配置文件做我觉得不妥。搜了一把,很多牛人都写过相关的文章,就是用 PolicyInjection.Create 和 PolicyInjection.Wrap 方法,并结合 ICallHandler 接口,及 HandlerAttribute 来做。

 

 

1     [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
2     public class NeedAuthAttribute : HandlerAttribute {
3  
4 
5         public override ICallHandler CreateHandler(Microsoft.Practices.Unity.IUnityContainer container) {
6             return new NeedAuthHandler();
7         }
8     }

 

 

 1 public class NeedAuthHandler : ICallHandler {
 2      public IMethodReturn Invoke(IMethodInvocation input, GetNextHandlerDelegate getNext) {
 3 var opts = input.Target as APIOpts;
 4             if(opts.AuthToken == null)
 5                 opts.Auth( opts.User , opts.Pwd);
 6             if(opts.AuthToken.HasExpiressed)
 7                 opts.RefreshAccessToken();
 8             return getNext()(input, getNext);
 9         }
10  
11 
12         public int Order {
13             get;
14             set;
15         }
16     }
 

 

使用起来很简单,就是在需要做授权判断的方法上加上相关的 Attribute

 

1 [NeedAuth]
2 public OrderDetail FindOrderById(string orderNo) {
3   var url = this.GetApiUrl(OrderFindOrderByID)
4                 .SetUrlKeyValue("orderId", orderNo);
5 var rh = new RequestHelper(this.CookieContainer);
6 var ctx = rh.Get(url);
7 return JsonConvert.DeserializeObject<OrderDetail>(ctx);
8 }

 

不过,上面的还不够,还需要在获取实例的时候:

 

1 private static APIOpts GetAPIOpts(string user, string pwd) {
2 var opts = AuthDataPersistence.Load(user);
3 if(opts == null)
4 opts = PolicyInjection.Create<APIOpts>(user, pwd);
5 else
6   opts = PolicyInjection.Wrap<APIOpts>(opts);
7 return opts;
8 }

 

 

好了,现在只需要在需要有授权的API方法上加上 NeedAuth 特性就行了,如果没有授权,就会自动去授权,如果需刷新授权码,就会自动刷新授权码,代码看起来清爽多了。

上一篇: javascript 动态当前时间和指定时间差 下一篇: 没有下一篇了!
发表评论
用户名: 匿名