VK API, PHP Как получить токен у которого хватит прав для метода wall.post?

Question

[achuraev]

Добрый день!
Суть задачи - с сайта сделать пост на стену текущего пользователя.
У меня standalone приложение, с его идентификатором делаю редирект на authorize, получаю code. По code получаю access_token. Конечно же запрашиваю права wall. При запросе wall.post получаю 15ю ошибку Access denied: no access to call this method. При получении code я подставляю в redirect_url свой базовый домен, если подставить домен vk blank то этот метод начинает работать.
Проблема заключена в том, что подставляя домен vk мне не становиться легче т.к. не могу получить при этом токен и сделать пост.

Вопрос - как быть? Какой алгоритм получения такого токена что бы я мог авторизовать пользователя и делать на его стене записи от его имени?

Comments

[Евгений]

от имени кого вы хотите сделать пост?

Answer 1

[Pablo]

Для сайтов доступ к стене ограничен. Вам следует делать авторизацию на сайте через Open API а потом лишь сможете делать записи через окно подтверждения.

Comments

[achuraev]

Хорошо, попробую. А не может как вариан быть такое решение: открываю фрейм с адресом autorize там делать редирект на бланк и потом копировать url с токеном и закрывать фрейм?

Answer 2

[Юрий]

У меня standalone приложение

standalone это десктопные программы (а не сайты). и этот режим не случайно сделан так чтобы для сайтов токены нельзя было получить.

способ только один - отправлять юзеров переходить по ссылке с redirect_url=vk blank и копировать оттуда токен. Да, они будут видеть предупреждение что копировать нельзя и многие этого делать не станут и правильно сделают.

чтобы делать записи на стене юзера, токен не нужен - обычная кнопка расшарить - юзер сам расшаривает.

если разрешить всем сайтам доступ к стене, то очень быстро ее засрут все кому не лень.

Comments

[achuraev]

Про засрут уже видел инфу, но для чего подтверждения? Сделайте с ним и все окей будет, уберите скоп оффлайн и нормально. По поводу standealone это не я придумал это такой тип приложения при создании указал.

[Юрий]

achuraev: "уберите скоп оффлайн и нормально" не нормально, какая разница, на моей стене будут срать пока я онлайн или офлайн? важен сам факт.

[Юрий]

achuraev: "По поводу standealone" не нужно его выбирать для обычных сайтов. токен все равно не получите для таких прав (без отправки по ссылке, чтобы юзер сам токен копировал).

[achuraev]

А про фрейм как идея? Вывести в модальном окне фрейм его на авторизацию и оттуда редиректом на вк бланк, адрес скопирую и закрою фрейм? Такое может получиться?

[Юрий]

achuraev: нет, CORS. доступа к адресу у вас не будет.

уловок нету никаких, только если юзер сам скопирует. эту защиту не дураки придумывали.

[achuraev]

Т.е. делать через Open API как написали выше и размещать запись с подтверждением?

[Юрий]

achuraev: либо чтобы юзеры копировали токены, либо кнопка расшарить (или Open API).

[achuraev]

Сделал через Open API создал приложение для сайта, делаю запрос на wall.post получаю это Uncaught TypeError: Cannot read property 'closed' of undefined (openapi.js:583). То ли лыжи не едут то ли я не лыжник уже((

[Александр Попов]

Юрий, это не очень удобно сделано на самом деле. Я понимаю, что борьба со спамом и все дела, но есть кейсы, когда это нужно. Пример: делаю микро-сервис постинга по расписанию под заказ. Токен сообщества не годится, потому что у заказчика много сообществ, а токен, полученный для сайта через Authorization Flow, постить ничего не может. В итоге приходится получать токен вручную копированием. Не очень большая проблема конечно, но при каждом слёте токена придётся его снова в базу/код ручками вносить, это тяжко. И слава богу, что этот токен не имеет привязки к IP, иначе был бы вообще трындец (получаем токен из браузера, а постить контент должен сервер).