Как проверить подпись при использовании WidgetInvite/WidgetSuggest?

Question

[ftc]

Пытаюсь в мобильном приложении открыть в WebView WidgetSuggest. Меня редиректит на страницу с ошибкой "BAD SIGNATURE" в урле. При этом проблема возникает только если использовать параметр st.return, без него всё работает как положено.

Аналогичный код с WidgetMediatopicPost также работает.

В чем может быть дело?

Comments

[Vjacheslav Kanivetc]

Наверно следует хотя бы приложить код как вы считаете подпись и какой url открываете

[ftc]

согласен, выкладываю код (Unity, C#), константы подчистил

StringBuilder to_sig = new StringBuilder();
to_sig.Append("st.return=");
to_sig.Append("uniwebview://suggest");
// ключ сессии
to_sig.Append(_session.sessionKey);

var sig = MD5(to_sig.ToString());
StringBuilder url = new StringBuilder("connect.ok.ru/dk?st.cmd=WidgetSuggest");
url.Append("&st.app=");
url.Append(WWW.EscapeURL(_settings.appId));
url.Append("&st.return=");
url.Append(WWW.EscapeURL("uniwebview://suggest"));
url.Append("&st.signature=");
url.Append(sig);
url.Append("&st.popup=on");
_webView.url = url.ToString();
Debug.Log("Loading webView with url = " + _webView.url);
_webView.OnLoadComplete += OnLoadComplete;
_webView.OnWebViewShouldClose += OnWebViewShouldClose;
_webView.OnReceivedMessage += OnReceivedMessage;
_webView.Load();

URL-схема uniwebview перехватывается при редиректе
Открывается вот такой URL:
http://connect.ok.ru/dk?st.cmd=WidgetInvite&st.app...

Если убрать st.return, вот так:

StringBuilder to_sig = new StringBuilder();
// ключ сессии
to_sig.Append(_session.sessionKey);

var sig = MD5(to_sig.ToString());
StringBuilder url = new StringBuilder("connect.ok.ru/dk?st.cmd=WidgetSuggest");
url.Append("&st.app=");
url.Append(WWW.EscapeURL(_settings.appId));
url.Append("&st.signature=");
url.Append(sig);
url.Append("&st.popup=on");
_webView.url = url.ToString();
Debug.Log("Loading webView with url = " + _webView.url);
_webView.OnLoadComplete += OnLoadComplete;
_webView.OnWebViewShouldClose += OnWebViewShouldClose;
_webView.OnReceivedMessage += OnReceivedMessage;
_webView.Load();
То открывается и работает нормально

[Vjacheslav Kanivetc]

ftc:
Вообще выглядит что все ок, юнити под рукой нет чтобы проверить.
Возможно проблема в том как работает WWW.EscapeURL.
Код на JS который корректно отрабатывает (а также поддерживает OAUTH сессию - access_token)

var sigSource = 'st.return=' + returnUrl + state.sessionSecretKey;
var query = OK_CONNECT_URL + 'dk?st.cmd=' + widget + '&st.app=' + state.app_id;
query += '&st.signature=' + md5(sigSource);
query += '&st.return=' + encodeURIComponent(returnUrl);
if (state.accessToken != null) {
query += '&st.access_token=' + state.accessToken;
}
if (state.sessionKey) {
query += '&st.session_key=' + state.sessionKey;
}
window.open(query);

[ftc]

Vjacheslav Kanivetc: попробовал JS-вариант
var sessionKey = 'сюда подставил ключ сессии, полученный из oAuth при редиректе';
var returnUrl = "example.com";
var sigSource = 'st.return=' + returnUrl + sessionKey;
var query = 'connect.ok.ru' + 'dk?st.cmd=WidgetSuggest&st.app=1140129280';
query += '&st.signature=' + CryptoJS.MD5(sigSource);
query += '&st.return=' + encodeURIComponent(returnUrl);
window.open(query);

Выдает такую же ошибку (редирект на http://example.com/?code=PARAM_SIGNATURE&error_cod...

[Vjacheslav Kanivetc]

А вы точно подписываете секретным ключем сессии?

[ftc]

Vjacheslav Kanivetc: да, точно. Полагаю, что если бы использовал что-то другое, у меня бы вариант без st.return тоже бы не работал.

[Vjacheslav Kanivetc]

ftc:
Да, проверил на ok.ru с sample приложения https://github.com/apiok/ok-js-sdk/samples/viral.html
Действительно не работает, а в режиме разработки - подпись работает корректно.
Завтра утром должно починиться (так как на тест окружении тоже работает).

[ftc]

Vjacheslav Kanivetc: Попробовал сейчас пример отсюда apiok.github.io/js_sample_widgets/viral.html - все равно получается редирект на BAD SIGNATURE.

[Vjacheslav Kanivetc]

ftc:
в apiok.github.io/js_sample_widgets/viral.html не поддерживался OAUTH логин + неправильно брался параметр подписи, пофиксил в
https://github.com/apiok/js_sample_widgets/commit/...

Возможно вы тоже брали ключ не из параметров которые вернулись через OAUTH?

[ftc]

Vjacheslav Kanivetc: Разобрался, в чем дело - не хватало параметра access_token при запросе. Стоит наверное указать это в документации https://apiok.ru/wiki/pages/viewpage.action?pageId...

[mark_slepkov]

У была ошибка сигнатуры, пока я не добавил в запрос &st.session_key={{ ключ_сессии }} укажите это тоже в доках пожалуйста.