この度、ガラケー向けのMixiアプリを作ることになりました。こういうアプリのリクエストは、実機 → Mixiが運営しているサーバー → アプリ用サーバー、という流れで送られるようです。（もちろんサーバーから実機への回答は逆の流れです。）Mixiのサーバーは、各リクエストに、ユーザーのMixi IDみたいな文字列を付けてくれて、そして本当にMixiのサーバーから来たリクエストかどうかを検証できるように、署名も付けてくれます。
Mixiの公式ドキュメンテーションはhttp://developer.mixi.co.jp/appli/spec/mob/validate-oauth-signature/にありますが、残念ながら、現在のところ、多少足りない部分がありまして…
まずは、下記のGETリクエストを例として上げているのだが、
http://example.com/foo/?opensocial_app_id=123&opensocial_owner_id=xxxxxxxx
「Ky/6LlDHpHX1EZMRi5mfUl9vxqY=」という署名になるには、「opensocial_owner_id」を「xxxxxxxx」ではなく、「456」に設定しないといけません。
なんで知ってるの！？
archive.orgのおかげです: https://web.archive.org/web/20100912034001/http://developer.mixi.co.jp/appli/spec/mob/validate-oauth-signature
続いて、「特殊な文字（漢字など）を含んでいるパラメーターはどうすればいいですか？」という質問に対する明らかな答えもなく、困っていました。
いろいろ試したところ、二重エンコーディングで対応できました。
つまり、「example.com/foo?test=テスト」みたいなリクエストは、ユーザー側のブラウザーから「example.com/foo?test=%E3%83%86%E3%82%B9%E3%83%88」のように送られます。それを「%25E3%2583%2586%25E3%2582%25B9%25E3%2583%2588」にすると検証が通ります。
test[foo]=barみたいな、角括弧が入っているパラメーターも同じように二重エンコーディングします。
Ruby on Railsだと、下記のようなコードで検証できます。
def mixi_signed_request_mobile?
require 'cgi'
oauth_header = request.headers["HTTP_AUTHORIZATION"].split(/\s*,\s*/)
oauth_header_hash = Hash[oauth_header.map { |keqv| keqv.gsub('"', '').split('=') }]
base_string_array = [
"oauth_consumer_key=" + @client_id,
"oauth_nonce=" + oauth_header_hash["oauth_nonce"],
"oauth_signature_method=" + "HMAC-SHA1",
"oauth_timestamp=" + oauth_header_hash["oauth_timestamp"],
"oauth_version=" + "1.0"
]
if request.get?
uri = URI.parse(request.url)
query_array = URI.decode_www_form(uri.query)
base_string_array += query_array.map{|param| "#{CGI.escape(param[0])}=#{CGI.escape(param[1])}"} # takes care of opensocial_app_id and opensocial_owner_id as well
else
# don't need the actual parameters for post requests (mixi-specific awkwardness)
base_string_array += ["opensocial_app_id=#{params["opensocial_app_id"]}", "opensocial_owner_id=#{params["opensocial_owner_id"]}"]
end
base_string_array.sort!
url = request.original_url.gsub(/\?.*/, '') # can't use request.base_url + request.path because the trailing slash is sometimes(?) cut off
baseString = request.method + "&" + CGI.escape(url) + "&" + CGI.escape(base_string_array.join("&")) # [] and utf-8 are doubly percent-encoded!! e.g. "テスト" becomes "%25E3%2583%2586%25E3%2582%25B9%25E3%2583%2588"!!!!!
sha1 = OpenSSL::HMAC::digest(OpenSSL::Digest::SHA1.new, @client_secret + "&", baseString)
base64 = Base64.strict_encode64(sha1)
return CGI.escape(base64) == oauth_header_hash["oauth_signature"]
end
(The above explanation and code show how to verify Mixi’s OAuth 1.0 signatures, as used with Japanese feature phone apps.)