我零零总总用了好几个月的时间,写了一个自用的小程序,从 Aliexpress 上抓取订单的小程序。刚开始写的时候,该API还没有开放,而且没有订单相关的功能。我完全是通过模拟用户在网页上的操作来做的:获取网页源码,用正则取数据,然后组装到本地数据库。
期间经历过Ali 的数次微调,每次微调,我都要耗费几个小时做程序上的调整,最大的改动就是Ali 弄个新的 和 老的 订单展示页并存的时候。
最难的部分当数用户登陆部分,一次登陆,需要跨几个域,收集这几个域返回的 Cookie,收集好几个ajax返回的结果. Cookie 的问题,我用同一个 CookieContainer 解决了,但是 ajax 的,我还得老老实实的每个每个的按顺序去请求。
前两天,Ali 搞了一个小飞机,某状态下没有订单,分页居然有 2147483648 页,一看就是溢出了,正当我准备调整程序的时候,他们又神一般的把这个问题修复了。
数月前,我就申请成开发者账户,而且通过了,只是一直没有去研究。通过这次小飞机后,我决定,改用API获取订单数据,不在从网页抓取了。
首先要注册成为开发者:
http://gw.api.alibaba.com/isv/index.htm
注册成功后,会分配给你一个应用的唯一标志:
其中:
签名串 即为 API 中说的YOUR_APPSECRET
API 说明可以打开如下地址:
http://gw.api.alibaba.com/dev/doc/sys_auth.htm?ns=aliexpress.open
该步骤请求如下地址:
http://gw.api.alibaba.com/auth/authorize.htm?client_id=xxx&site=aliexpress&redirect_uri=urn:ietf:wg:oauth:2.0:oob
client_id 要填写 APPKEY
redirect_uri 是同意授权后回调的地址,因为我写的是客户端,不是WEB应用,所以当然没有回调地址,所以就用这个:urn:ietf:wg:oauth:2.0:oob
在请求之前,需要把上面的地址进行签名,把签名的值做为参数:_aop_signature的值,加到上面的地址里,一起请求,签名说明如下:
参数签名(_aop_signature)为所有参数key + value 字符串拼接后排序,把排序结果拼接为字符串data后通过bytesToHexString(HAMC-RSA1(data, appSecret))计算签名。验证签名的方式为对参数执行同样的签名,比较传入的签名结果和计算的结果是否一致,一致为验签通过。
注:只有客户端和WEB端授权流程发起授权请求这一步使用参数签名串组装规则,只用url请求参数作为签名因子;其他签名均需加入urlPath作为额外因子(见API签名串组装规则)。
Ali 给出了签名算法的C#示例:
http://gw.api.alibaba.com/dev/tools/app_signature.html
获取到临时码后,需要用 临时授权码 交换 授权码,所有的API都是通过授权码进行操作的
授权码获取地址:
https://gw.api.alibaba.com/openapi/http/1/system.oauth2/getToken/{0}?grant_type=authorization_code&need_refresh_token=true&client_id={1}&client_secret={2}&redirect_uri=urn:ietf:wg:oauth:2.0:oob&code={3}
其中:
{0}处和{1}处填写 APPKEY
{2} 处填写 APPSECRET
{3}处填写上一步获取到的那个临时授权码 Code
need_refresh_token 如果为 false 的话,不会返回用于刷新授权码的刷新码(我叫它刷新码).
返回的结果如下:
{"aliId":"xxx","resource_owner":"xxx","expires_in":"36000","refresh_token":"xxx","access_token":"xxx"}
expires_in 是授权码的过期时间(秒),10个小时 (60 x 60 x 10)。如果过了10小时,就需要刷新授权码。
refresh_token 是后面需要用的刷新码
access_token 即新的授权码
授权令牌自生成时间起,会在10小时后过期,这时如果在访问API,返回的是401 未授权。当该状况发生时,需要刷新授权令牌。刷新授权令牌 不需要 重新获取 临时码。
请求地址:
https://gw.api.alibaba.com/openapi/param2/1/system.oauth2/getToken/{0}
POST 如下数据:
grant_type 值为固定的 refresh_token
client_id 值为 APPKEY
client_secret 值为APPSECRET
refresh_token 即上一步中获取的令牌中的刷新码(refhreshToken)
刷新授权令牌 得到的结果 和用 临时授权码 得到的 授权令牌 大致一致,但是少了刷新码,因为刷新码的有效期为半年。
令牌的刷新码(refreshToken),在API文档中,说是半年有效期,但是在令牌中并没有关于刷新码的过期时间信息。
授权令牌的有效期为10分钟,也就是说即使你退出了应用,重新打开,只要你能复现这个授权令牌,在10分钟内,是不需要重新授权,重新获取授权码的。
所以,在用临时码或刷新码获取到授权码后,应该把相关信息存起来,以便下次使用,因为从本文最上面的图片中可以看到,API 每日最大的调用次数为 1W 次。
不知道我这样说有没有什么不妥。
API的每个方法调用都需要有授权令牌。但是如果在这些方法里都加上相关的 是否以授权,是否有授权令牌 的判断代码,相信连你自己都觉得不妥。
这里,我管API方法的调用叫业务逻辑,判断是否授权等叫结构逻辑。
做过MVC的一定知道,ActionFilter 很好用,可以将和业务无关的逻辑分离出来,但是C# 并没有原生的类似ActoinFilter 的东西。查了一下,有个叫PostSharp 的东西,但是这个东西不免费。
我之前用过EntLib ,对里面的 PIAB (策略注入 Policy Injecton) 了解一点点,但是仅局限于用配置文件做。因为这里的目的很明确:判断是否有授权,用配置文件做我觉得不妥。搜了一把,很多牛人都写过相关的文章,就是用 PolicyInjection.Create 和 PolicyInjection.Wrap 方法,并结合 ICallHandler 接口,及 HandlerAttribute 来做。
1 [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 2 public class NeedAuthAttribute : HandlerAttribute { 3 4 5 public override ICallHandler CreateHandler(Microsoft.Practices.Unity.IUnityContainer container) { 6 return new NeedAuthHandler(); 7 } 8 }
1 public class NeedAuthHandler : ICallHandler { 2 public IMethodReturn Invoke(IMethodInvocation input, GetNextHandlerDelegate getNext) { 3 var opts = input.Target as APIOpts; 4 if(opts.AuthToken == null) 5 opts.Auth( opts.User , opts.Pwd); 6 if(opts.AuthToken.HasExpiressed) 7 opts.RefreshAccessToken(); 8 return getNext()(input, getNext); 9 } 10 11 12 public int Order { 13 get; 14 set; 15 } 16 }
使用起来很简单,就是在需要做授权判断的方法上加上相关的 Attribute
1 [NeedAuth] 2 public OrderDetail FindOrderById(string orderNo) { 3 var url = this.GetApiUrl(OrderFindOrderByID) 4 .SetUrlKeyValue("orderId", orderNo); 5 var rh = new RequestHelper(this.CookieContainer); 6 var ctx = rh.Get(url); 7 return JsonConvert.DeserializeObject<OrderDetail>(ctx); 8 }
不过,上面的还不够,还需要在获取实例的时候:
1 private static APIOpts GetAPIOpts(string user, string pwd) { 2 var opts = AuthDataPersistence.Load(user); 3 if(opts == null) 4 opts = PolicyInjection.Create<APIOpts>(user, pwd); 5 else 6 opts = PolicyInjection.Wrap<APIOpts>(opts); 7 return opts; 8 }
好了,现在只需要在需要有授权的API方法上加上 NeedAuth 特性就行了,如果没有授权,就会自动去授权,如果需刷新授权码,就会自动刷新授权码,代码看起来清爽多了。