No Comments
八月 29th, 2010 · by avenger · 技术 · 2,312 views

本年 8 月 16 日起， 官方不再支持基本身份认证协议（basic authentication protocol）。这意味着开发者唯一可以访问 的方法是利用 的第三方应用。在本篇教程中，我会讲解如何通过 PHP 来使用 官方的一键登录系统。

作者：Rafael Soto
原文链接：http://net.tutsplus.com/tutorials/php/how-to-authenticate-users-with-twitter-oauth/

通过 OAuth 进行 Twitter 身份验证_Twitter

本文中用到的类库 twitteroauth 下载

第一步：创建应用

我们首先需要申请一个新的 应用。

  • 点击这里，在 dev.twitter.com 打开注册新应用的表单；
  • 根据你的需要添加表单中的各项内容，确认在应用类型（Application Type）那里要选择“浏览器（Browser）”，并设置一个回调地址（Callback URL），例如像 http://localhost.com/twitter_login.php 这样的地址，（http://localhost/ 这样的地址可不行，因为不包含域名信息）；
  • 最后选择读和写（Read & Write），并填写验证码，点击注册应用（Register Application）按钮来完成申请。

如果没出现错误，完成以上步骤后，你应该能看到如下画面：
通过 OAuth 进行 Twitter 身份验证_Twitter_02

注意上图的红框，等一下我们将用到上图中的 Consumer key 和 Consumer secret 信息。

网上已经有了不少现成的 认证的类库，可以简化我们的工作。在 PHP 里面我推荐 twitteroauth ，是比较好用的一个，如果你使用其它开发语言，可以在这里找适合你的类库。

请在下载到的压缩包中找到名为 twitteroauth 的目录，将其部署到你的应用程序根目录下。

在我们开始编码前，我们还需要一张数据库来保存用户信息，下面是一个基本的 Mysql 的例子：

1
2
3
4
5
6
7
8
9

CREATE TABLE `users` (
    `id` int(10) UNSIGNED NOT NULL AUTO_INCREMENT,
    `oauth_provider` varchar(10),
    `oauth_uid` text,
    `oauth_token` text,
    `oauth_secret` text,
    `username` text,
    PRIMARY KEY (`id`)
) ENGINE=MyISAM  DEFAULT CHARSET=latin1;

注意 oauth_token 和 oauth_secret 这两个字段。 的 认证需要 token 和 token_secret 两个参数来完成认证，所以我们需要预留两个字段来记录他们。

第二步：注册用户

我们需要依次完成以下工作：

  • 向 发起认证申请
  • 注册/或者登录，如果用户已经有帐号的情况下
  • 将相关数据保存在 Session 中

申请认证

基于 的认证流程从生成一个网址开始。用户被重定向到该网址要求认证，认证通过后，会重定向到我们的应用服务器，并会将两个认证后的参数通过 URL 方式传回。

准备好刚才下载的类库，初始化 Session，让我们开始吧：

1
2

require("twitteroauth/twitteroauth.php");
session_start();

创建一个新的 TwitterOAuth 实例，传入我们在第一步申请应用时获取到的 consumer key 和 consumer secret。接下来我们准备发出认证请求，保存认证信息到 Session 中，然后重定向到 网站进行认证。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

// 创建 TwitterOAuth 对象实例
$twitteroauth = new TwitterOAuth('YOUR_CONSUMER_KEY', 'YOUR_CONSUMER_SECRET');
// Requesting authentication tokens, the parameter is the URL we will be redirected to
$request_token = $twitteroauth->getRequestToken('http://localhost.com/twitter_oauth.php');
 
// 保存到 session 中
$_SESSION['oauth_token'] = $request_token['oauth_token'];
$_SESSION['oauth_token_secret'] = $request_token['oauth_token_secret'];
 
// 如果没有错误发生
if($twitteroauth->http_code==200){
    // Let's generate the URL and redirect
    $url = $twitteroauth->getAuthorizeURL($request_token['oauth_token']);
    header('Location: '. $url);
} else {
    // 发生错误，你可以做一些更友好的处理
    die('Something wrong happened.');
}

将代码保存为 twitter_login.php, 然后访问 http://localhost.com/twitter_login.php 进行测试，如果一切 OK 的话，你应该会被重定向到 .com，你将看到如下画面：

通过 OAuth 进行 Twitter 身份验证_休闲_03

点击允许（allow）按钮，你将被重定向到 http://localhost.com/twitter_oauth.php — 这是我们在上段代码里设置过的，不过我们还没创建这个文件，所以现在代码会抛出一个错误。让我们建立这个文件，记得要先加入包含类库和初始化 Session 的代码，就像我们第一个例子里那样。

接下来，我们还需要在这个文件中完成以下三件事：

  • 验证 URL 中的数据
  • 验证 Session 中的 token 数据
  • 验证 Session 中的 secret 数据

所以，首先要进行数据合法性的判断：

1
2
3
4
5
6

if(!empty($_GET['oauth_verifier']) && !empty($_SESSION['oauth_token']) && !empty($_SESSION['oauth_token_secret'])){
    // 数据合法，继续
} else {
    // 数据不完整，转到上一步
    header('Location: twitter_login.php');
}

如果所有数据库都是合法的，我们需要创建一个新的 TwitterOAuth 对象实例，跟之前不同的是，我们要把获取到的 token 数据做为参数传入对象。之后，我们应该可以获取到一个 access token，这个获取到的数据应该是一个数组，这个 access token 是我们唯一需要保存起来的数据，先来做一个简单的测试吧：

1
2
3
4
5
6
7
8
9
10

// TwitterOAuth 对象实例，注意新加入的两个参数
$twitteroauth = new TwitterOAuth('YOUR_CONSUMER_KEY', 'YOUR_CONSUMER_SECRET', $_SESSION['oauth_token'], $_SESSION['oauth_token_secret']);
// 获取 access token
$access_token = $twitteroauth->getAccessToken($_GET['oauth_verifier']);
// 将获取到的 access token 保存到 Session 中
$_SESSION['access_token'] = $access_token;
// 获取用户信息
$user_info = $twitteroauth->get('account/verify_credentials');
// 打印用户信息
print_r($user_info);

一切正常的话，上面的代码会输出用户的资料。你可以通过 $user_info->id 来获得用户的 ID，通过 $user_info->screen_name 来获取用户名，等等，其它的信息也可以通过同样的方式获取。

需要重点指出的是，oauth_verifier 这个传回来的参数不能被重用，如果上面的代码已经正确输出了用户信息，你可以试着重新刷新页面，应该会看到页面会抛出一个错误信息，因为 oauth_verifier 已经被我们用过一次了。要再次使用，需要到 twitter_login.php 页面重新发起一个认证请求。

用户注册

获得了用户信息后，现在我们要开始把用户信息注册到我们自己的数据库中，当然前提是用户没有在本地数据库注册过。首先要连接数据库，代码如下：

1
2

mysql_connect('localhost', 'YOUR_USERNAME', 'YOUR_PASSWORD');
mysql_select_db('YOUR_DATABASE');

上面代码中的数据库链接信息要改成你自己的。如果用户已经存在于我们的数据库中，我们需要更新用户的 tokens 字段，因为这说明 生成了新的 tokens，数据库中的 tokens 已经过期了。如果用户不存在，我们需要新加一条记录，并将相关的数据保存在 Session中，最后重定向回 twitter_update.php 页面。相关代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

if(isset($user_info->error)){
    // Something's wrong, go back to square 1
    header('Location: twitter_login.php');
} else {
    // Let's find the user by its ID
    $query = mysql_query("SELECT * FROM users WHERE oauth_provider = 'twitter' AND oauth_uid = ". $user_info->id);
    $result = mysql_fetch_array($query);
 
    // If not, let's add it to the database
    if(empty($result)){
        $query = mysql_query("INSERT INTO users (oauth_provider, oauth_uid, username, oauth_token, oauth_secret) VALUES ('twitter', {$user_info->id}, '{$user_info->screen_name}', '{$access_token['oauth_token']}', '{$access_token['oauth_token_secret']}')");
        $query = mysql_query("SELECT * FROM users WHERE id = " . mysql_insert_id());
        $result = mysql_fetch_array($query);
    } else {
        // Update the tokens
        $query = mysql_query("UPDATE users SET oauth_token = '{$access_token['oauth_token']}', oauth_secret = '{$access_token['oauth_token_secret']}' WHERE oauth_provider = 'twitter' AND oauth_uid = {$user_info->id}");
    }
 
    $_SESSION['id'] = $result['id'];
    $_SESSION['username'] = $result['username'];
    $_SESSION['oauth_uid'] = $result['oauth_uid'];
    $_SESSION['oauth_provider'] = $result['oauth_provider'];
    $_SESSION['oauth_token'] = $result['oauth_token'];
    $_SESSION['oauth_secret'] = $result['oauth_secret'];
 
    header('Location: twitter_update.php');
}

需要注意的是，上面代码中的 SQL 没有经过验证，你在实际使用的时候可能要经过修改。连接数据库前，我们需要先验证一下用户是否已经登录：

1
2
3
4

if(!empty($_SESSION['username'])){
    // User is logged in, redirect
    header('Location: twitter_update.php');
}

有了用户名，我们就可以展示一条个性的欢迎信息了：

1

<h2>Hello <?=(!empty($_SESSION['username']) ? '@' . $_SESSION['username'] : 'Guest'); ?></h2>

Let’s get to the fun side: updating, following and reading.

第三步：获取用户状态

官方 API 提供了二十余种资源供开发者使用，例如：timeline, tweets, users, trends, lists, direct messages, 等等。 每一种资源都有对应一堆的方法可供调用的，具体的用法和介绍可以参见官方文档。我们这里只实现最简单的，其它的你可以举一反三。

跟前两步一样，代码开始前你要先创建对象实例，并初始化 Session。

1
2
3

if(!empty($_SESSION['username'])){
    $twitteroauth = new TwitterOAuth('YOUR_CONSUMER_KEY', 'YOUR_CONSUMER_SECRET', $_SESSION['oauth_token'], $_SESSION['oauth_secret']);
}

我们来试着获取用户的 timeline 数据，手册告诉我们，资源的路径是 statuses/home_timeline，手册上的版本号和格式参数我们不需要关心，类库已经帮我们自己完成了。

1
2

$home_timeline = $twitteroauth->get('statuses/home_timeline');
print_r($home_timeline);

用上面的代码，你应该可以获取到正确的数据了。如果你愿意，可以用一个 foreach 来循环展示具体的条目。手册上关于 timeline 资源的说明中，还有一些参数可以供选择的，例如每次获取的条数。上面代码的 get 方法有一个可选参数，你可以根据需要传入相应的值。如果想获取最新的 40 条数据，只需要使用下面的代码：

1

$home_timeline = $twitteroauth->get('statuses/home_timeline', array('count' => 40));

当然，你可以获取任何人的公开的 timeline 数据。使用 statues/user_timeline 资源即可，需要传入要获取用户的用户 ID 或用户名。例如想获取 @nettuts 的 timeline 数据，你需要下面的代码：

1

$nettuts_timeline = $twitteroauth->get('statuses/user_timeline', array('screen_name' => 'nettuts'));

看到了吧，只要授权通过，获取这些 timeline 数据，只不过是小意思。

第四步：好友关系

通过好友关系，你可以检查某个用户是否是另一个用户的关注者（Follows），当然也可以关注、或者取消关注指定的用户，下面的代码片断用来检查你是否是笔者的关注者，如果不是的话，则会自动关注笔者。

首先，让我们先来看一下开发者手册上关于 friendships/exists 和 friendships/create 的这部分说明。注意到了吗？friendships/create 的调用方法是 POST，跟我们前面用的 GET 有些不同。当然，我们用的类库中已经包含了一个叫 post() 的方法，使用起来跟之前的 get() 差不多，唯一不同的地方在于 get() 是用来获取数据的，而 post() 一般用来更新、创建和删除数据。

friendships/exists 需要传入两个参数：用户A 和 用户B。friendships/create 则只需要一个参数：用户名（screen_name）或 用户ID（ user_id）。

1
2
3
4
5

$follows_faelazo = $twitteroauth->get('friendships/exists', array('user_a' => $_SESSION['username'], 'user_b' => 'faelazo'));
if(!$follows_faelazo){
    echo 'You are NOT following @faelazo!';
    $twitteroauth->post('friendships/create', array('screen_name' => 'faelazo'));
}

同样，你可以用类似的代码来取消关注某个用户，只需简单的把 create 替换为 destory：

1
2
3
4
5

$follows_faelazo = $twitteroauth->get('friendships/exists', array('user_a' => $_SESSION['username'], 'user_b' => 'faelazo'));
if($follows_faelazo){
    echo 'You are following @faelazo! Proceed to unfollow...';
    $twitteroauth->post('friendships/destroy', array('screen_name' => 'faelazo'));
}

第五步：更新

This is probably the most interesting section, since it’s ’s core: posting an update, as you might have imagined, is pretty straightforward. The path is statuses/update, the method is POST (since we are not reading), and the one required argument is status.

1

$twitteroauth->post('statuses/update', array('status' => 'Hello Nettuts+'));

如果上面的代码执行成功的，到你的 页面看下，你应该会看到类似的画面：

通过 OAuth 进行 Twitter 身份验证_职场_04

让我们试着转发 @Nettut 的这条 ：the HTML 5 Competition，这条记录的 ID 是 19706871538，手册告诉我们，转发需要调用的资源路径是： statuses/retweet/:id， :id 即是我们要转发的消息 ID，方法为 POST，此方法不需要其它附加的参数。

$twitteroauth->post('statuses/retweet/19706871538');

要删除某条消息，我们需要传入要删除的消息 ID，就像转发的操作那样，假设消息的 ID 为 123456789，删除这条消息的代码如下：

1

$twitteroauth->post('statuses/destroy/123456789');

当然，上面删除的代码有个前提，只会删除有经过我们授权的用户消息。

小结

的 API 很简单，很容易让人理解，甚至比 FaceBook 的文档都容易得多。遗憾的是认证的过程需要绕一些弯子。

有一点需要特别提醒的是，如果你的应用得到了用户的授权（你的应用有了读写权限），你基本上就相当于控制了这个用户帐户使用权。请小心使用你的权利，少做一些未经过用户授权的事，这会给你制造不少麻烦。

很快就会取缔基本身份验证模式（Basic Authentication）， 是最终的解决方案。你现在就可以试着将本文学到的知识应用到你的网站上。让用户不用注册，就可以用世界上最流行的网站帐号直接登录，不也是一件很酷的事情吗？