如何用Qt實現對Google API的應用（2）– OAuth的各步驟實現

為了使用OAuth驗證流程成功的調用Google API，需要先擷取OAuth Access Token

在OAuth Access Token的擷取過程中，我們需要依次解決以下幾個問題：

1.為擷取Access Token準備TimeStamp，Nonce和HMAC-SHA1簽名

 

a. TimeStamp的擷取方法：

簡單的使用QDateTime::currentMSecsSinceEpoch()/1000可以獲得

 

b. Nonce的擷取演算法：

 

Nonce，是單次值的意思，就是說在每一次Request請求發出時的隨機32位值，以保證操作是單次的，用於避免多次重複的請求式攻擊

其實在很多應用中都會用到Nonce，nonce等於Universally Unique Identifier的概念，所以這裡可以使用Qt的QUuid產生隨機的nonce值。因為QUuid產生的隨機樣式為{67C8770B-44F1-410A-AB9A-F9B5446F13EE}，所以我們需要將其中的“{”，“}”和“-”符號去掉

 

QString nonce = QUuid::createUuid().toString().remove(QRegExp("[{,},-]"));

 

c. HMAC-SHA1簽名演算法：

 

含密鑰的安全雜湊演算法，為密碼編譯演算法的一種，在第三方應用請求時使用

下面給出實現代碼，具體演算法請Google

 

 

QString OAuthUtil::hmacSha1(QByteArray key, QByteArray baseString)<br />{<br /> int blockSize = 64; // HMAC-SHA-1 block size, defined in SHA-1 standard<br /> if (key.length() > blockSize) { // if key is longer than block size (64), reduce key length with SHA-1 compression<br /> key = QCryptographicHash::hash(key, QCryptographicHash::Sha1);<br /> }<br /> QByteArray innerPadding(blockSize, char(0x36)); // initialize inner padding with char "6"<br /> QByteArray outerPadding(blockSize, char(0x5c)); // initialize outer padding with char "/"<br /> // ascii characters 0x36 ("6") and 0x5c ("/") are selected because they have large<br /> // Hamming distance (http://en.wikipedia.org/wiki/Hamming_distance)<br /> for (int i = 0; i < key.length(); i++) {<br /> innerPadding[i] = innerPadding[i] ^ key.at(i); // XOR operation between every byte in key and innerpadding, of key length<br /> outerPadding[i] = outerPadding[i] ^ key.at(i); // XOR operation between every byte in key and outerpadding, of key length<br /> }<br /> // result = hash ( outerPadding CONCAT hash ( innerPadding CONCAT baseString ) ).toBase64<br /> QByteArray total = outerPadding;<br /> QByteArray part = innerPadding;<br /> part.append(baseString);<br /> total.append(QCryptographicHash::hash(part, QCryptographicHash::Sha1));<br /> QByteArray hashed = QCryptographicHash::hash(total, QCryptographicHash::Sha1);<br /> return hashed.toBase64();<br />}

 

2. 各步驟的Signature產生方式

a. Request Token時的Signature產生：

使用consumer key和consumer secret的組合作為Key，與baseString進行簽名

第三方應用使用anonymous作為其consumer key和consumer secret，產生的Key為“anonymous&”

 

b. Request Authorize Token時的Signature產生：

缺

 

c. Reques tAccess Token時的Signature產生：

缺

 

d. 使用Access Token時的Signature產生

使用

consumer key和consumer secret和token_secret組合作為Key與baseString進行簽名

token_secret為申請Access Token前Authorize Token授權後獲得的，需要先儲存起來並在這裡應用

如：token_secret=x1qzR2SBgH8waTVHvHS6jYNg

      consumer key和consumer secret為anonymous，產生的Key為

      Key = anonymous&x1qzR2SBgH8waTVHvHS6jYNg