Atom API メモ

☆

試しに Atom API クライアントを作ろうとして、 気がついたことをメモしておこうと思ったら、 miyagawa さんがすでに書いてますね。 同じようなことを書いても仕方がないので、

それ以外にも認証を WSSE (Web Service Security Enforcement) を使用している、とかもありますがここでは省略。

blog.bulknews.net: Atom just for Blogging?

省略されてしまった WSSE の方について。

XML-RPC API ではパスワードが生のまま送信されるので、セキュリティの面で問題ありまくりです。Atom API では、 WSSE という方法を使ってパスワードを暗号化することで、この問題を解決しています。

X-WSSE: UsernameToken Username="name", PasswordDigest="digest", Created="timestamp", Nonce="nonce"

TypePad Atom API

生のパスワードの代わりに「パスワードダイジェスト」というものを使います。「パスワードダイジェスト」は
        base64(sha1(Nonce . Created . Password))
つまり、

• Nonce という http リクエストごとにユニークになるように付けられた識別子(クライアント側で生成。Atom API では、通常、任意の桁数の16進数の羅列を用いる)、
• Created という日時情報(Nonce を生成した日時。2004-01-20T01:09:39Z のような形式[ISO-8601])、
• 生のパスワード

を連結して作った文字列を SHA1 で暗号化し、base64 化したものです。

最終的に、X-WSSE: は、以下のような感じになります。

X-WSSE: UsernameToken Username="Melody", PasswordDigest="VfJavTaTy3BhKkeY/WVu9L6cdVA=", Created="2004-01-20T01:09:39Z", Nonce="7c19aeed85b93d35ba42e357f10ca19bf314d622"

---

参考:

• WSSE:
  • Supporting "Differently Abled" Clients and Servers
  • New AtomAPI Implementation Release
  • Web Services Security UsernameToken Profile (PDF)
  • Web Services Security 補遺
• SHA1:
  • SHA-1 (US Secure Hash Algorithm 1 (SHA1))
  • Digest::SHA1 - SHA-1アルゴリズムへのPerlインターフェース (perl)
  • SHA1 クラス (C#.NET)

---

おまけ:
ココログの Atom API エンドポイント URL は

• Weblogs: http://app.cocolog-nifty.com/t/atom/weblog
• Photo Albums: http://app.cocolog-nifty.com/t/atom/gallery (ココログでは未サポート?)
• TypeLists: (ココログでは未サポート)

であると予想。