ライフサイクルイベントについて << mixi Developer Center (ミクシィデベロッパーセンター)

POSTメソッドを利用する場合はmixiモバイル同様PostBodyを署名のベース文字列に含めないようご注意ください。
また、
ライフサイクルイベントでのリクエストでは、opensocial_owner_idパラメータおよびopensocial_viewer_idパラメータが送信されることはありません。上記の署名検証に加えて、これらのパラメータがリクエストに含まれないことも同時に確認を行うようにしてください。

公開鍵

サンプルコード

ライフサイクルイベントに付加されている署名を検証するためのサンプルコード(PHP)を以下に掲載します。

<?php
require_once("OAuth.php"); 

class MixiSignatureMethod extends OAuthSignatureMethod_RSA_SHA1 {
  protected function fetch_public_cert(&$request) {
    return <<< EOD
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
EOD;
  } 

  protected function fetch_private_cert(&$request) {
    return;
  }
} 

//Build a request object from the current request
$request = OAuthRequest::from_request();
$signature = $request->get_parameter('oauth_signature'); 

//Initialize the new signature method
$signature_method = new MixiSignatureMethod(); 

//Check the request signature
@$signature_valid = $signature_method->check_signature($request, null, null, $signature); 

if (!$signature_valid) {
  header('HTTP/1.0 400 Bad Request');
  echo "This request was spoofed";
} else {
  echo "Success! The data was validated";
}

上記プログラムの動作には、OAuth.php が必要です。
2010年5月18日時点の最新バージョンである r1171 では署名の生成方法に問題がありますので、以下のように修正してご利用ください。

--- OAuth.php.org       2010-05-17 17:25:38.000000000 +0900
+++ OAuth.php   2010-05-17 17:29:12.000000000 +0900
@@ -276,7 +276,7 @@
       // and add those overriding any duplicates from GET or POST
       if (@substr($request_headers['Authorization'], 0, 6) == "OAuth ") {
         $header_parameters = OAuthUtil::split_header(
-          $request_headers['Authorization']
+          $request_headers['Authorization'], false
         );
         $parameters = array_merge($parameters, $header_parameters);
       }
@@ -857,7 +857,7 @@
       if (is_array($value)) {
         // If two or more parameters share the same name, they are sorted by their value
         // Ref: Spec: 9.1.1 (1)
-        natsort($value);
+        sort($value, SORT_STRING);
         foreach ($value as $duplicate_value) {
           $pairs[] = $parameter . '=' . $duplicate_value;
         }

このページの上部へ

mixi Developer Center (ミクシィ デベロッパーセンター)

mixiアプリ

ライフサイクルイベントについて

ライフサイクルイベントの使用宣言

送信されるパラメータ

event.addapp

event.removeapp

ライフサイクルイベントの通知頻度

各イベントのマージ

署名の検証

公開鍵

サンプルコード

mixi Developer Center (ミクシィデベロッパーセンター)