Forum Pasja Informatyki - Najnowsze z tagiem oauth

Problem z autoryzacją moich żądań do Spotify API za pośrednictwem Postmana

Fri, 22 Sep 2023 16:38:38 +0000

Buduję serwis Spring Boot przy użyciu Spotify Web API i chciałem przetestować metody kontrolera. Za pomocą przeglądarki mogłem sprawdzić żądanie GET i wszystko działało poprawnie - otrzymałem oczekiwane odpowiedzi. Problem wystąpił, gdy chciałem sprawdzić żądania POST za pomocą Postmana. Pomimo skonfigurowania autoryzacji poprzez OAuth 2.0 w Postmanie i otrzymania tokenów dostępu, przy każdej próbie złożenia żądania zwracany był kod źródłowy strony logowania Spotify, niezależnie od tego, czy było to żądanie POST, czy GET.

Tak wygląda moja konfiguracja Spotify w pliku application.properties:

spring.security.oauth2.client.registration.spotify.client-id=${SPOTIFY_CLIENT_ID}
spring.security.oauth2.client.registration.spotify.client-secret=${SPOTIFY_CLIENT_SECRET}
spring.security.oauth2.client.registration.spotify.authorization-grant-type=authorization_code
spring.security.oauth2.client.registration.spotify.redirect-uri=http://localhost:8080/login/oauth2/code/spotify
spring.security.oauth2.client.registration.spotify.scope=user-read-email,user-read-private
spring.security.oauth2.client.provider.spotify.authorization-uri=https://accounts.spotify.com/authorize
spring.security.oauth2.client.provider.spotify.token-uri=https://accounts.spotify.com/api/token

spring.security.oauth2.client.registration.spotify.provider=spotify
spring.security.oauth2.client.provider.spotify.user-info-uri=https://api.spotify.com/v1/me
spring.security.oauth2.client.provider.spotify.user-name-attribute=id

Mam ten sam identyfikator przekierowania URI ustawiony w ustawieniach aplikacji na stronie Spotify.

Serwis, w której znajduje się przykładowa metoda, którą chciałem przetestować, wygląda następująco:

@Service
@RequiredArgsConstructor
public class SpotifyService {

    private final RestTemplate restTemplate;
    private final String BASE_URL = "https://api.spotify.com/v1/";

    private final ObjectMapper objectMapper;

    public <T> T fetchData(String id, String endpoint, String accessToken, Class<T> responseType) {
        HttpHeaders headers = new HttpHeaders();
        headers.setBearerAuth(accessToken);
        HttpEntity<String> entity = new HttpEntity<>("parameters", headers);

        ResponseEntity<String> response = restTemplate.exchange(
                BASE_URL + endpoint + "/" + id,
                HttpMethod.GET,
                entity,
                String.class
        );

        try {
            return objectMapper.readValue(response.getBody(), responseType);
        } catch (Exception e) {
            e.printStackTrace();
            return null;
        }
    }

    public ArtistDto getArtist(String artistId, String accessToken) {

        return fetchData(
                artistId,
                "artists",
                accessToken,
                ArtistDto.class
        );
    }
}

I kontroler do tego:

@RestController
@RequiredArgsConstructor
@RequestMapping("/api/spotify")
public class SpotifyController {

    private final SpotifyService spotifyService;
    private final TokenService tokenService;

    @GetMapping("/artists/{id}")
    public ResponseEntity<ArtistDto> getArtist(@PathVariable String id) {
        String accessToken = tokenService.getAccessToken();
        ArtistDto artistDto = spotifyService.getArtist(id, accessToken);

        return ResponseEntity.ok(artistDto);
    }
}

mam również ten TokenService, który zapewnia mi token dostępu:

@Service
@RequiredArgsConstructor
public class TokenService {
    private final OAuth2AuthorizedClientService authorizedClientService;

    public String getAccessToken() {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        OAuth2AuthenticationToken oauthToken = (OAuth2AuthenticationToken) authentication;
        OAuth2AuthorizedClient client = authorizedClientService.loadAuthorizedClient(
                oauthToken.getAuthorizedClientRegistrationId(),
                oauthToken.getName()
        );

        return client.getAccessToken().getTokenValue();
    }
}

Tak jak mówiłem, gdy sprawdzam działanie tej metody w przeglądarce, zwraca mi poprawne dane w formacie JSON, natomiast gdy robię to w Postmanie, otrzymuję kod źródłowy strony logowania Spotify.

Tak wygląda moja konfiguracja OAuth 2.0 w Postman:

Nie używam zakresów, ponieważ chcę dostać się do danych publicznych. Próbowałem także zmienić Typ przyznania na Client Credentials, ale wynik jest taki sam - token jest wygenerowany poprawnie i zawarty w nagłówkach, ale odpowiedzią nadal jest strona logowania.

Próbowałem także utworzyć endpoint, który zwraca bieżący token dostępu za pośrednictwem przeglądarki i wklejać ten token do Postmana przy użyciu autoryzacji Bearer Token, ale nadal bezskutecznie.

Naprawdę mam nadzieję, że ktoś pomoże mi rozwiązać ten problem.

Spotify API - Jak uzyskać klucz OAuth Token?

Fri, 10 Mar 2023 22:42:50 +0000

Witam. Chciałem zrobić prostą aplikację do wyświetlania moich utworów z ulubionych w spotify. Konkretnie chodzi mi o to że jak wejdę TUTAJ to mogę sobie taki request wykonać. Tylko jak mam uzyskać ten oauth token? Jak wpisuję w google to wszystko mnie prowadzi do tworzenia jakiejś aplikacji na portalu spotify, logowanie się w niej, itd. jakby to miała być publicznie dostępna aplikacja, a nie o to mi chodzi. Z tego będę korzystał tylko ja i jedyne co potrzebuję t o ten klucz wyciągnąć. A nie mogę go ot tak przekopiować, bo on wygasa po 1 godzinie...

Garmin wellness-api - Invalid OAuth signature - PHP

Fri, 05 Mar 2021 13:28:49 +0000

Witam,

mam problem z wygenerowaniem oauth_signature dla Garmin Wellness API.

    $oauth_nonce = 'OhJBVADBAC8';
    $oauth_timestamp = '1614947339';
    $date_from = 1607089161;
    $date_to = 1614865161;

    $url = 'https://apis.garmin.com/wellness-api/rest/backfill/activities?summaryStartTimeInSeconds=' . $date_from . '&summaryEndTimeInSeconds=' . $date_to;

    $base_string = 'GET&' . rawurlencode($url) . '&' . rawurlencode('oauth_consumer_key=' . $oauth_consumer_key . '&oauth_nonce=' . $oauth_nonce . '&oauth_signature_method=' . $oauth_signature_method . '&oauth_timestamp=' . $oauth_timestamp . '&oauth_token=' . $oauth_token . '&oauth_version=' . $oauth_version . '&summaryStartTimeInSeconds=' . $date_from . '&summaryEndTimeInSeconds=' . $date_to);

    $oauth_signature = hash_hmac("SHA1", $base_string, $oauth_consumer_secret, false);
    $oauth_signature = rawurlencode(base64_encode(pack('H*', $oauth_signature)));

    $curl = curl_init();

    curl_setopt_array($curl, array(
        CURLOPT_URL => $url,
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_ENCODING => '',
        CURLOPT_MAXREDIRS => 10,
        CURLOPT_TIMEOUT => 0,
        CURLOPT_FOLLOWLOCATION => true,
        CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
        CURLOPT_CUSTOMREQUEST => 'GET',
        CURLOPT_HTTPHEADER => array(
            'Authorization: OAuth oauth_consumer_key="' . $oauth_consumer_key . '",oauth_token="' . $oauth_token . '",oauth_signature_method="' . $oauth_signature_method . '",oauth_timestamp="' . $oauth_timestamp . '",oauth_nonce="' . $oauth_nonce . '",oauth_version="' . $oauth_version . '",oauth_signature="' . $oauth_signature . '"'
        ),
    ));

    $response = curl_exec($curl);
    var_dump($response);
    curl_close($curl);

API zwraca 'Invalid OAuth signature'.
Symulowałem sobie to połączenie w Postmanie i było OK.
Jak podstawiłem sobie sigranure z postmana - też było ok, więc problem na pewno leży w samym generowaniu siganture.

Możecie mi wskazać gdzie robię błąd ?

Rejestracja i Logowanie przez Oauth2 Linkedin

Tue, 13 Oct 2020 03:42:22 +0000

Witam.

Chciałem zrobić możliwość logowania i rejestracji poprzez Oauth2 Linkedin ale utknąłem na etapie wyświetlenia przycisku "Zaloguj przez Linkedin" :D. Cały czas mam błąd o treści:

Uncaught (in promise) Error: [IN:Parser] Could not instantiate tag for 'login': t.user is null

Wykonałem następujące czynności:

W treści strony gdzie chcę mieć widoczny przycisk wklejam:

<script type="IN/Login" data-url="http://developer.linkedin.com/"></script>

Na początku strony (próbowałem też na końcu body) dodaje skrypt:

 <script type="text/javascript" src="//platform.linkedin.com/in.js">
        api_key: API_KEY
        authorize: true
        onLoad: onLinkedInLoad
        scope: r_basicprofile r_emailaddress
    </script>

Po aładowaniu strony dostaje powyższy błąd.

Ale wyświetlenie przycisku "share" działą bez zarzutu więc co jest nie tak z tym login.

Dziękuję.

JWT w Spring Boot trudnosci w implementacji

Thu, 12 Dec 2019 15:25:08 +0000

Cześć mam trudnośći w implementacji JWT. Stworzyłem filtr:

public class AuthenticationFilter extends UsernamePasswordAuthenticationFilter
{
private final AuthenticationManager authenticationManager;

public AuthenticationFilter(AuthenticationManager authenticationManager) 
{	
	this.authenticationManager = authenticationManager;
}

@Override
    public Authentication attemptAuthentication(HttpServletRequest request,
			HttpServletResponse response) throws AuthenticationException {

	try {
		UserLoginRequestModel creds = new ObjectMapper().readValue(request.getInputStream(),UserLoginRequestModel.class);

		UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken = new UsernamePasswordAuthenticationToken(
				creds.getEmail(),
				creds.getPassword(),
				new ArrayList<>());

		authenticationManager.authenticate(usernamePasswordAuthenticationToken);

		return authenticationManager.authenticate(new UsernamePasswordAuthenticationToken(
				creds.getEmail(),
				creds.getPassword(),
				new ArrayList<>()));
	}
catch(IOException e)
	{
	throw new RuntimeException(e);
	}
    
    }


@Override
protected void successfulAuthentication(HttpServletRequest request,
        HttpServletResponse res,FilterChain chain, Authentication auth) throws IOException, ServletException
{
	String userName = ((User)auth.getPrincipal()).getUsername();
	
	String token = Jwts.builder()
			.setSubject(userName)
			//.claim("scope","ADMIN")
			.setExpiration(new Date(System.currentTimeMillis() + SecurityConstants.EXPIRATION_TIME))
			.signWith(SignatureAlgorithm.HS512, SecurityConstants.getTokenSecret())
			.compact();
	
	UserService userService = (UserService) SpringApplicationContext.getBean("userServiceImpl");
	UserDto userDto = userService.getUser(userName);
	
	res.addHeader(SecurityConstants.HEADER_STRING,SecurityConstants.TOKEN_PREFIX+token);
	
	res.addHeader("UserID",userDto.getUserId());
	
}
}

public class AuthorizationFilter extends BasicAuthenticationFilter 
{

	public AuthorizationFilter(AuthenticationManager authManager)
	{
		super(authManager);
	}
	
	
	
	@Override
	protected void doFilterInternal(HttpServletRequest req,
	        HttpServletResponse res,FilterChain chain) throws IOException, ServletException
	{
		String header = req.getHeader(SecurityConstants.HEADER_STRING);
		
	if(header== null || !header.startsWith(SecurityConstants.TOKEN_PREFIX))
			{
		chain.doFilter(req, res);
			return;
			}
		
		UsernamePasswordAuthenticationToken authentication = getAuthentication(req);
		SecurityContextHolder.getContext().setAuthentication(authentication);
		chain.doFilter(req, res);
	
	}



	private UsernamePasswordAuthenticationToken getAuthentication(HttpServletRequest req)
	{
	String token = req.getHeader(SecurityConstants.HEADER_STRING);
	
	if(token != null)
	{
		token = token.replace(SecurityConstants.TOKEN_PREFIX,"");
	
	String user = Jwts.parser()
			.setSigningKey(SecurityConstants.getTokenSecret())
			.parseClaimsJws(token)
			.getBody()
			.getSubject();
			
	if(user != null)
	{
		List<SimpleGrantedAuthority> authorities = new ArrayList<>();
		authorities.add(new SimpleGrantedAuthority("ADMIN"));
		return new UsernamePasswordAuthenticationToken(user, null,authorities );
	}
	
	}
		return null;
	}
	
}

Oraz config:


@EnableWebSecurity
public class WebSecurity extends WebSecurityConfigurerAdapter {
    private final UserService userDetailsService;
    private final BCryptPasswordEncoder bCryptPasswordEncoder;

    public WebSecurity(UserService userDetailsService, BCryptPasswordEncoder bCryptPasswordEncoder) {
        super();
        this.userDetailsService = userDetailsService;
        this.bCryptPasswordEncoder = bCryptPasswordEncoder;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(bCryptPasswordEncoder);
    }


    @Override
    protected void configure(HttpSecurity http) throws Exception {
		http.csrf().disable().authorizeRequests().antMatchers(HttpMethod.POST, SecurityConstants.SIGN_UP_URL)
				.permitAll()
				//.antMatchers(HttpMethod.GET,"/users/showUser/**").hasRole("ADMIN")
				.anyRequest()
				.authenticated()
				.and()
				.addFilter(getAuthenticationFilter())
				.addFilter(new AuthorizationFilter(authenticationManager()))
				.sessionManagement()
				.sessionCreationPolicy(SessionCreationPolicy.STATELESS);


	}

    public AuthenticationFilter getAuthenticationFilter() throws Exception {
        final AuthenticationFilter filter = new AuthenticationFilter(authenticationManager());
        filter.setFilterProcessesUrl("/users/login");
        return filter;
    }

}

Rola jest wpisana hardcodem ale tylko na potrzebę testów. Problem polega na tym że nie do końca wiem czy rola jest zapisywana w tokenie. Gdy chcę ograniczać dostęp w oparciu o rolę dostaję brak dostępu. Może ktoś rzuci okiem i coś podpowie.

php - jak stworzyć api?

Wed, 05 Jun 2019 18:21:41 +0000

Cześć, mam aplikacje która powiedzmy, że posiada logowanie i rejestracje, po zajerestrowaniu uzytkownik ma jakies tam dane i tyle. No i potrzebuje aby móc się tymi danymi podzielić też z aplikacją mobilną. Jak to zrobić? Czytałem o tworzeniu czegoś w rodzaju API. ale nigdzie nie widziałem praktycznego przykładu który by mi to rozjaśnił. Dostałem też informacje, żeby użyć tokenów z OAuth 2.0, czy faktycznie OAuth jest dobrym rozwiązaniem?

[Intermediate] Issue in binding social accounts with local account in web app

Thu, 12 Apr 2018 13:49:46 +0000

Opis aplikacji:
W apce możliwe jest zarejestrowanie się poprzez dane użytkownika (email/nick i hasło), wówczas wysyłany jest email z linkiem do weryfikacji, który przekierowuje do ścieżki odpowiedzialnej za weryfikacje użytkownika (za pomocą JWT). Po tym użytkownik się loguje, dostaje od serwera auth token i refresh token, ten pierwszy przechowywany w session storage, drugi w local storage. Ustawiony jest axios interceptor który w przypadku kodu 401 przesyła do serwera refresh token a ten zwraca nowy auth token i refresh token i są one ustawione domyślnie do każdego zapytania http za pomocą axios. Po stronie serwera mam middleware który weryfikuje auth token i w razie potrzeby zwraca 401. Oprócz tego możliwe jest logowanie poprzez social media (fb, google+, github), zaimplementowane przy użyciu passport.

Opis zadania:
Zalogowany użytkownik ma mieć możliwość połączenia konta z social, taki case jest opisany w dokumentacji passport: http://www.passportjs.org/docs/authorize/

Opis problemu:
Zapytania pod route podany w dokumentacji:

app.get('/connect/twitter',
  passport.authorize('twitter-authz', { failureRedirect: '/account' })
);

mogą być wykonywane tylko poprzez przekierowanie za pomocą <a href='/connect/google'>, odwołanie się do nich za pomocą API nie są możliwe (CORS). I tu pojawia się problem ponieważ nie ma możliwości przekazania auth token do serwera, a co za tym idzie serwer nie może odczytać danych lokalnie zalogowanego użytkownika i dodać do bazy danych użytkownika uaktualnione dane (w postaci danych pobranych z konta google).

Przepraszam za długi opis lecz chciałem dokładnie opisać problem. Z góry dziękuję za pomoc.
Kod źródłowy: https://github.com/frozenfroggie/Nightlife
Adres www: https://vast-everglades-58513.herokuapp.com

PS. Proszę wybaczyć za beznadziejne nazwy ostatnich commitów ale trochę jestem zdesperowany xD

Oauth2 Meteor na Wekanie

Thu, 06 Jul 2017 20:24:28 +0000

Cześć,

muszę podpiąć autoryzację Oauth2 do Wekan'a, nie wiem jak to za bardzo zrobić, odpaliłem wekana lokalnie (działa), ale nie wiem jak zabrać się za zmianę tej autentykacji :/ Znalazłem na githubie taki link:

https://github.com/mulesoft/js-client-oauth2

Wekan jest projektem na meteorze więc także szukałem w atmosphere i znalazłem ale nie wiem jak i gdzie go zaimplementować :/

Jak może wiecie gdzie znaleźć w wekanie pliki configuracyjne do autoryzacji to byłbym bardzo wdzięczy za ich napisanie i podanie linii :)

Dzięki za wszystkie odpowiedzi!