android - 授权请求头 OAuth 2.0

Question

我正尝试在我正在进行的项目中实现 OAuth 2.0。我能够使用身份验证服务器进行身份验证，但是我在使用资源服务器时遇到问题。我们正在使用 MAC token (spec)。您可以在规范的 3.1 中看到我需要发送一个包含以下内容的授权请求 header 。我无法理解这一点。有人可以告诉我在这里应该做什么吗？

credentials = "MAC" [ RWS 1#param ]
param = id /
nonce /
body-hash /
ext /
mac
id = "id" "=" <"> plain-string <">
nonce = "nonce" "=" <"> 1*DIGIT ":" plain-string <">
body-hash = "bodyhash" "=" <"> plain-string <">
ext = "ext" "=" <"> plain-string <">
mac = "mac" "=" <"> plain-string <">
plain-string = 1*( %x20-21 / %x23-5B / %x5D-7E )

更新

我觉得我正在取得进展，但我觉得我离解决这个问题还很远。

所以我正在构建类似下面的东西

StringBuilder header = new StringBuilder("MAC ").append("id=\"").append(sharedPrefs.getString(Constants.ACCESS_TOKEN, "error")).append("\",nonce=\"").append(createNonce()).
                append("\",bodyhash=\"").append(bodyHash).append("\",mac=\"").append(mac).append("\"");

我这样计算body hash

public static String SHA256(String text) throws  UnsupportedEncodingException  { 
        MessageDigest md = null;
        try {
            md = MessageDigest.getInstance("SHA-256");
        } catch (NoSuchAlgorithmException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        byte[] shahash = new byte[40];
        md.update(text.getBytes("iso-8859-1"), 0, text.length());
        shahash = md.digest();
        return Base64.encodeToString(shahash, Base64.DEFAULT);
}

Mac 是这样的

private String hmacSHA256(String data) throws Exception {
    String key = sharedPrefs.getString(Constants.SECRET, "error");
    SecretKeySpec secretKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA256");
    Mac mac = Mac.getInstance("HmacSHA256");
    mac.init(secretKey);
    byte[] hmacData = mac.doFinal(data.getBytes("UTF-8"));
    //Log.i(TAG, "BYTE ARRAY TO STRING: " + Base64.encodeToString(hmacData, Base64.DEFAULT));
    String value = Base64.encodeToString(hmacData, Base64.DEFAULT);
    return value;
}

我遇到了问题，因为服务器没有响应。这真的让我发疯，我无法想象这个文档对任何人来说都是清楚的。

Answer 1

您需要注意 MAC access authentication scheme 是 oauth2 协议(protocol)的扩展，类似于HTTP Basic access，但是是可选的，所以没有必要在每个资源服务器中都实现它。

因此，如果您发出未经身份验证的请求 并且资源服务器 响应如下:

HTTP/1.1 401 Unauthorized 
WWW-Authenticate: MAC

MAC，表示您被允许使用此验证方案。

当今基于 oauth2 的资源服务器实现的最常见的身份验证方案是:bearer .

---

如果您仍然担心如何实现此规范，可以查看 excelent source for Android在 Github 上完成它。您需要的 java 类可能是 this .

玩得开心!