Aliexpress API 授权流程整理

前言

我零零总总用了好几个月的时间，写了一个自用的小程序，从 Aliexpress 上抓取订单的小程序。刚开始写的时候，该API还没有开放，而且没有订单相关的功能。我完全是通过模拟用户在网页上的操作来做的：获取网页源码，用正则取数据，然后组装到本地数据库。

期间经历过Ali 的数次微调，每次微调，我都要耗费几个小时做程序上的调整，最大的改动就是Ali 弄个新的和老的订单展示页并存的时候。

最难的部分当数用户登陆部分，一次登陆，需要跨几个域，收集这几个域返回的 Cookie，收集好几个ajax返回的结果. Cookie 的问题，我用同一个 CookieContainer 解决了，但是 ajax 的，我还得老老实实的每个每个的按顺序去请求。

前两天，Ali 搞了一个小飞机，某状态下没有订单，分页居然有 2147483648 页，一看就是溢出了，正当我准备调整程序的时候，他们又神一般的把这个问题修复了。

数月前，我就申请成开发者账户，而且通过了，只是一直没有去研究。通过这次小飞机后，我决定，改用API获取订单数据，不在从网页抓取了。

开始

首先要注册成为开发者：

http://gw.api.alibaba.com/isv/index.htm

注册成功后，会分配给你一个应用的唯一标志：

其中:

Key 即为API 中说的 YOUR_APPKEY

签名串 即为 API 中说的YOUR_APPSECRET

API 说明可以打开如下地址：

http://gw.api.alibaba.com/dev/doc/sys_auth.htm?ns=aliexpress.open

获取授权步骤：

发起授权请求，用户同意授权后，返回临时授权码，这里称为 Code

该步骤请求如下地址：

http://gw.api.alibaba.com/auth/authorize.htm?client_id=xxx&site=aliexpress&redirect_uri=urn:ietf:wg:oauth:2.0:oob

client_id 要填写 APPKEY

redirect_uri 是同意授权后回调的地址，因为我写的是客户端，不是WEB应用，所以当然没有回调地址，所以就用这个：urn:ietf:wg:oauth:2.0:oob

在请求之前，需要把上面的地址进行签名，把签名的值做为参数：_aop_signature的值，加到上面的地址里，一起请求，签名说明如下：

参数签名(_aop_signature)为所有参数key + value 字符串拼接后排序，把排序结果拼接为字符串data后通过bytesToHexString(HAMC-RSA1(data, appSecret))计算签名。验证签名的方式为对参数执行同样的签名，比较传入的签名结果和计算的结果是否一致，一致为验签通过。

注：只有客户端和WEB端授权流程发起授权请求这一步使用参数签名串组装规则，只用url请求参数作为签名因子；其他签名均需加入urlPath作为额外因子（见API签名串组装规则）。

Ali 给出了签名算法的C#示例：

http://gw.api.alibaba.com/dev/tools/app_signature.html

二，获取授权码

获取到临时码后，需要用临时授权码交换授权码，所有的API都是通过授权码进行操作的

授权码获取地址：

https://gw.api.alibaba.com/openapi/http/1/system.oauth2/getToken/{0}?grant_type=authorization_code&need_refresh_token=true&client_id={1}&client_secret={2}&redirect_uri=urn:ietf:wg:oauth:2.0:oob&code={3}

其中：

{0}处和{1}处填写 APPKEY

{2} 处填写 APPSECRET

{3}处填写上一步获取到的那个临时授权码 Code

need_refresh_token 如果为 false 的话，不会返回用于刷新授权码的刷新码（我叫它刷新码）.

返回的结果如下：

{"aliId":"xxx","resource_owner":"xxx","expires_in":"36000","refresh_token":"xxx","access_token":"xxx"}

expires_in 是授权码的过期时间（秒），10个小时 (60 x 60 x 10)。如果过了10小时，就需要刷新授权码。

refresh_token 是后面需要用的刷新码

access_token 即新的授权码

三，刷新授权令牌

授权令牌自生成时间起，会在10小时后过期，这时如果在访问API，返回的是401 未授权。当该状况发生时，需要刷新授权令牌。刷新授权令牌 不需要 重新获取 临时码。

请求地址：

https://gw.api.alibaba.com/openapi/param2/1/system.oauth2/getToken/{0}

POST 如下数据：

grant_type 值为固定的 refresh_token

client_id 值为 APPKEY

client_secret 值为APPSECRET

refresh_token 即上一步中获取的令牌中的刷新码(refhreshToken)

刷新授权令牌得到的结果和用临时授权码得到的授权令牌大致一致，但是少了刷新码，因为刷新码的有效期为半年。

其它说明

令牌的刷新码(refreshToken)，在API文档中，说是半年有效期，但是在令牌中并没有关于刷新码的过期时间信息。

授权令牌的有效期为10分钟，也就是说即使你退出了应用，重新打开，只要你能复现这个授权令牌，在10分钟内，是不需要重新授权，重新获取授权码的。

所以，在用临时码或刷新码获取到授权码后，应该把相关信息存起来，以便下次使用，因为从本文最上面的图片中可以看到，API 每日最大的调用次数为 1W 次。

业务逻辑和结构逻辑分离

不知道我这样说有没有什么不妥。

API的每个方法调用都需要有授权令牌。但是如果在这些方法里都加上相关的是否以授权，是否有授权令牌的判断代码，相信连你自己都觉得不妥。

这里，我管API方法的调用叫业务逻辑，判断是否授权等叫结构逻辑。

做过MVC的一定知道，ActionFilter 很好用，可以将和业务无关的逻辑分离出来，但是C# 并没有原生的类似ActoinFilter 的东西。查了一下，有个叫PostSharp 的东西，但是这个东西不免费。

我之前用过EntLib ，对里面的 PIAB (策略注入 Policy Injecton) 了解一点点，但是仅局限于用配置文件做。因为这里的目的很明确：判断是否有授权，用配置文件做我觉得不妥。搜了一把，很多牛人都写过相关的文章，就是用 PolicyInjection.Create 和 PolicyInjection.Wrap 方法，并结合 ICallHandler 接口，及 HandlerAttribute 来做。

1     [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
2     public class NeedAuthAttribute : HandlerAttribute {
3
4
5         public override ICallHandler CreateHandler(Microsoft.Practices.Unity.IUnityContainer container) {
6             return new NeedAuthHandler();
7         }
8     }

 1 public class NeedAuthHandler : ICallHandler {
 2      public IMethodReturn Invoke(IMethodInvocation input, GetNextHandlerDelegate getNext) {
 3 var opts = input.Target as APIOpts;
 4             if(opts.AuthToken == null)
 5                 opts.Auth( opts.User , opts.Pwd);
 6             if(opts.AuthToken.HasExpiressed)
 7                 opts.RefreshAccessToken();
 8             return getNext()(input, getNext);
 9         }
10
11
12         public int Order {
13             get;
14             set;
15         }
16     }

使用起来很简单，就是在需要做授权判断的方法上加上相关的 Attribute

1 [NeedAuth]
2 public OrderDetail FindOrderById(string orderNo) {
3   var url = this.GetApiUrl(OrderFindOrderByID)
4                 .SetUrlKeyValue("orderId", orderNo);
5 var rh = new RequestHelper(this.CookieContainer);
6 var ctx = rh.Get(url);
7 return JsonConvert.DeserializeObject<OrderDetail>(ctx);
8 }

不过，上面的还不够，还需要在获取实例的时候：

1 private static APIOpts GetAPIOpts(string user, string pwd) {
2 var opts = AuthDataPersistence.Load(user);
3 if(opts == null)
4 opts = PolicyInjection.Create<APIOpts>(user, pwd);
5 else
6   opts = PolicyInjection.Wrap<APIOpts>(opts);
7 return opts;
8 }

好了，现在只需要在需要有授权的API方法上加上 NeedAuth 特性就行了，如果没有授权，就会自动去授权，如果需刷新授权码，就会自动刷新授权码，代码看起来清爽多了。

标签: Aliexpress API, PolicyInjection