OAuth Web 服务和 Django 活塞

Question

我正在尝试使用 Django 实现具有过滤资源访问（OAuth 身份验证）的 Web 服务，但我有几个问题。

我创建了两个网络服务器：

• http://localhost:8080 ：Web 服务提供者（使用 django-piston 作为 Web 服务）
• http://localhost:8000 ：Web 服务使用者

我正在尝试使用 OAuth 1.0a 版本来针对提供者对使用者进行身份验证。 此处描述了该协议的工作流程。

简而言之，以下是不同的步骤（交换的资源的名称）：

1. 消费者从提供者请求令牌（密钥、秘密）
2. 如果消费者有效，提供者返回一个令牌（oauth_token，oauth_token_secret）
3. 消费者将用户重定向到提供者登录/授予访问权限 (oauth_token)
4. 用户向使用者授予对资源的访问权限。
5. 提供者给消费者一个令牌验证器（token_verifier）
6. 消费者请求一个access_token（key、secret、oauth_token、oauth_token_secret、oauth_verifier）
7. < Strong>provider 为 consumer 提供 access_token (oauth_token)
8. consumer 使用其 oauth_token 来访问资源

以下是我的消费者视图的代码：

from django.shortcuts import render_to_response
from django.http import HttpResponse, HttpResponseRedirect
import oauth2 as oauth
import urlparse

REQUEST_TOKEN_URL = 'http://127.0.0.1:8080/api/authentication/request_token/'
AUTHORIZATION_URL = 'http://127.0.0.1:8080/api/authentication/authorize/'
ACCESS_TOKEN_URL = 'http://127.0.0.1:8080/api/authentication/access_token/'
CONSUMER_CALLBACK_URL = 'http://127.0.0.1:8000/request_access_token/'

CONSUMER_KEY = 'key'
CONSUMER_SECRET = 'secret'

consumer = oauth.Consumer(CONSUMER_KEY, CONSUMER_SECRET)
client = oauth.Client(consumer)

def request_token(request):
    """
    Contacts the service provider to get a token.
    """ 
    resp, content = client.request(REQUEST_TOKEN_URL, 'GET')
    oauth_token = dict(urlparse.parse_qsl(content)).get('oauth_token', None)
    oauth_token_secret = dict(urlparse.parse_qsl(content)).get('oauth_token_secret',
                                                          None)

    if oauth_token is None:
        return render_to_response('home.html', {'data': 'NO TOKEN FOUND'})
    else:
        request.session['oauth_token'] = oauth_token
        request.session['oauth_token_secret'] = oauth_token_secret
        return HttpResponseRedirect('request_user_permission/')

def request_user_permission(request):
    """
    Redirects the user to the service provider to get permission if
    token provided.
    """
    oauth_token = request.session['oauth_token']

    if oauth_token is None:
        return render_to_response('home.html', {'data': 'NO TOKEN FOUND'})
    else:
        return HttpResponseRedirect("%s?oauth_token=%s&oauth_callback=%s"
             % (AUTHORIZATION_URL, oauth_token, CONSUMER_CALLBACK_URL))


def request_access_token(request):
    """
    Requests an access token from the service provider
    if the user granted permission.
    """
    error = request.GET.get('error', None)

    if error is None:
        oauth_verifier = request.GET.get('oauth_verifier', None)

        if oauth_verifier is None:
            return render_to_response('home.html',
                                       {'data': 'UNKNOWN ERROR HAPPENED'})
        else:
            # User permission granted, requesting access token
            oauth_token = request.session['oauth_token']
            oauth_token_secret = request.session['oauth_token_secret']

            token = oauth.Token(oauth_token, oauth_token_secret)
            token.set_verifier(oauth_verifier)
            client.token = token

            resp, content = client.request(ACCESS_TOKEN_URL, 'POST')
            access_token = dict(urlparse.parse_qsl(content))
            return render_to_response('home.html', {'data': access_token})
    else:
        return render_to_response('home.html', {'data': error})

< strong>一般 OAuth 问题

• 消费者应该拥有多少个令牌？一？每个用户一个？每个资源一个？
• 消费者应该如何存储其令牌？
• 如何指定消费者可以使用其令牌访问哪些资源？在将用户重定向到服务提供商时（步骤 3），消费者是否应该能够提供其想要访问的资源的 id？
• 如果消费者想要访问用户过去已经授予访问权限的资源，是否应该将用户重定向到服务提供商（并让服务提供商立即返回 oauth_verifier，而不是询问用户许可） ？

技术问题

现在，我正在使用本地内存缓存会话来存储令牌，但它不起作用：

• 当在消费者服务器上激活会话时，用户每次都必须登录服务提供商服务器（即使他已经登录）。
• 在第一个视图（请求令牌）中，我将 oauth_token 和 oauth_token_secret 存储在请求的会话中。当我尝试在第二个视图中访问它（在重定向用户之前）时，它起作用了。但是，当我尝试在最后一个视图中（重定向后）访问它时，它没有（KeyError，在 request.session< 中找不到 oauth_token /code> 字典）

谢谢！

Answer 1

我在同样的船上（使用 OAuth 身份验证实现 API），并且遇到了 django-oauth-plus 我研究中的项目。本教程很好地完成了您链接到的图表中概述的过程的每个步骤。代码本身似乎是 OAuth 的相当完整的实现（不确定我是否知道我在说什么，只是学习这些东西）。

另外，这个人 有一个关于 OAuth 基础知识的非常好的教程（我对此很挣扎）。