我正在尝试使用此库将 Apple 登录实现到 Android 应用程序中。文档中描述了主要流程:该库在Android端返回一个授权码。此授权代码必须发送到我的后端,然后再将其发送到 Apple 服务器以取回访问令牌。
如这里和这里所述,为了获得访问令牌,我们需要向 Apple API 发送参数列表、授权码和签名的 JWT。特别是,JWT 需要使用 ES256 算法使用私有 .p8 密钥进行签名,该密钥必须从 Apple 开发人员门户生成和下载。苹果文档
这是我的 PHP 脚本:
<?php
$authorization_code = $_POST('auth_code');
$privateKey = <<<EOD
-----BEGIN PRIVATE KEY-----
my_private_key_downloaded_from_apple_developer_portal (.p8 format)
-----END PRIVATE KEY-----
EOD;
$kid = 'key_id_of_the_private_key'; //Generated in Apple developer Portal
$iss = 'team_id_of_my_developer_profile';
$client_id = 'identifier_setted_in_developer_portal'; //Generated in Apple developer Portal
$signed_jwt = $this->generateJWT($kid, $iss, $client_id, $privateKey);
$data = [
'client_id' => $client_id,
'client_secret' => $signed_jwt,
'code' => $authorization_code,
'grant_type' => 'authorization_code'
];
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://appleid.apple.com/auth/token');
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$serverOutput = curl_exec($ch);
curl_close ($ch);
var_dump($serverOutput);
function generateJWT($kid, $iss, $sub, $key) {
$header = [
'alg' => 'ES256',
'kid' => $kid
];
$body = [
'iss' => $iss,
'iat' => time(),
'exp' => time() + 3600,
'aud' => 'https://appleid.apple.com',
'sub' => $sub
];
$privKey = openssl_pkey_get_private($key);
if (!$privKey) return false;
$payload = $this->encode(json_encode($header)).'.'.$this->encode(json_encode($body));
$signature = '';
$success = openssl_sign($payload, $signature, $privKey, OPENSSL_ALGO_SHA256);
if (!$success) return false;
return $payload.'.'.$this->encode($signature);
}
function encode($data) {
$encoded = strtr(base64_encode($data), '+/', '-_');
return rtrim($encoded, '=');
}
?>
问题是苹果的回应总是:
{"error":"invalid_client"}
在这里阅读似乎问题可能与生成对 Apple 不正确的签名的 openSSL 有关(“ OpenSSL 的 ES256 签名结果是 DER 编码的 ASN.1 结构(它的大小超过 64)。(不是原始 R | | S 值) ”)。
有没有办法使用 openSSL 获得正确的签名?
p8 格式是 openssl_sign 和 openssl_pkey_get_private 函数的正确输入吗? (我注意到如果在jwt.io中使用提供的 .p8 密钥来计算签名的 jwt,则它不起作用。)
在 openSSL 文档中,我读到应该提供 pem 密钥,如何将 .p8 转换为 .pem 密钥?
我还尝试了一些 PHP 库,它们基本上使用上述相同的步骤,例如firebase /php-jwt和lcobucci/jwt,但 Apple 的响应仍然是“无效客户端”。
预先感谢您的帮助,
编辑
我试图从等式中完全删除 openSSL。使用从 .p8 生成的 .pem 密钥,我使用 jwt.io 生成了一个签名的 JWT。使用此签名的 JWT,Apple API 会正确回复。在这一点上,我几乎可以肯定这是一个 openSSL 签名问题。关键问题是如何使用 PHP 和 openSSL 获得正确的 ES256 签名。