试图绕过 Vimeo API 授权过程

Question

所以我喜欢在 WordPress 插件中使用 vimeo API。

在我看来实际上有 3 种不同的方法可以做到这一点。

所以我的猜测是，我可以将带有视频的网站设置为“主”应用程序，并通过其复杂的授权过程让用户对我的应用程序进行身份验证以执行操作。我不确定这到底是如何工作的......

因为我打算将其用于商业用途，所以我必须将我的插件注册为带有视频的商业应用程序。并不是说我希望被他们拒绝，但我喜欢我的用户拥有自己的网站作为他们自己的应用程序的想法，即使这意味着他们需要更长的设置时间。

我看到一个插件（codeflavors vimeo post Lite）向用户提供client id 和client secret 的设置，然后请求获取特定于用户的 API 令牌，因此基本上每个用户都注册了自己的应用程序在 vimeo 上。

/**
 * Constructor, fires up the parent by providing it with
 * client ID, secret and token, if any
 */
public function __construct( $args = array() ){
    // set plugin settings
    $this->settings = cvm_get_settings();
    // set the token
    $token = null;
    if( !empty( $this->settings['oauth_secret'] ) ){
        $token = $this->settings['oauth_secret'];
    }else if( !empty( $this->settings['oauth_token'] ) ){
        $token = $this->settings['oauth_token'];
    }       
    // set up redirect URL
    $redirect_url = admin_url( 'edit.php?post_type=' . cvm_get_post_type() . '&page=cvm_settings' );
    // start the parent
    parent::__construct( $this->settings['vimeo_consumer_key'], $this->settings['vimeo_secret_key'], $token, $redirect_url );

我不明白他们代码的这一部分，令牌是 oauth_secret 或 oauth_token 的部分

但我实际上已经集成了他们的代码，忽略了 oauth_secret 部分，因此如果我的插件将他们的 vimeo 密码和 ID 放入其中，用户可以在 WP 管理页面中生成他们的令牌。

但现在我发现了另外 2 个似乎只使用令牌的插件。

define( 'VIMEOGRAPHY_ACCESS_TOKEN', 'eaf47146f04b5550a3e394f3bbf8273f'); 他们的代币只是在他们的代码中公开。这是打算这样使用吗？

我还在 Vimeo 应用设置中发现您可以在此处生成令牌。 “为脚本或测试生成令牌”。 And I seen yet another plugin 指示用户在那里生成他们的令牌并将该令牌放在 WP 管理页面中。

所以我有点困惑，但我的猜测是我可以将自己的令牌用于公共数据，当用户需要私有数据时，我可以指示然后生成他们自己的令牌并使用它，实际上跳过所有这些复杂的授权内容.尽管对我来说它有一个官方的 api，但它似乎更简单，更容易维护，只是让他们使用一个令牌，比如其他 API 的 api 密钥。

所以我的问题是我对此是否正确。走复杂路线有什么好处。如果我可以让我的用户生成他们自己的令牌？

Answer 1

Authentication 带有 Vimeo API 的令牌可以分为三种类型：

• 未经身份验证（客户端凭据）
• 经过身份验证（OAuth2 流）
• 经过身份验证（个人访问令牌）

未经身份验证的/客户端凭据令牌只能用于从 Vimeo 获取公共数据，并且由 client_id 和 client_secret 值生成。

当授予appropriate scopes 时，经过身份验证的令牌可用于从 Vimeo 获取公共和私人数据。经过身份验证的令牌通过以下两种方式之一生成：

1. 通过 OAuth2 流发送最终用户，他们授权您的应用程序代表其 Vimeo 帐户执行操作

2. 在应用管理页面生成“个人访问令牌”。此令牌已通过应用创建者帐户的身份验证。

当然，用例各不相同，但这里有一些关于何时使用这些类型令牌的一般示例：

• 未经身份验证 - 如果您的应用程序只需要从 Vimeo 检索公共数据，则使用此选项。
• 通过 OAuth 进行身份验证的令牌 - 如果您的应用程序将由 其他用户 使用，并且需要将 Vimeo 上的数据私有给这些用户的帐户，则使用该令牌。
• 通过个人访问令牌的身份验证令牌 - 如果您的应用程序只能由您自己的 Vimeo 帐户使用，并且需要在您的帐户中获取私有数据，则使用此选项。

您提到的每项服务都应概述它们所需的身份验证令牌类型。他们可能需要您作为其应用程序的最终用户，通过 OAuth2 流程并授权应用程序代表您的 Vimeo 帐户执行操作。他们可能还需要您在 Vimeo Developer site 上生成一个应用程序，并使用您的应用程序的 client_id/secret 提供服务，或者创建个人访问令牌并使用该令牌提供服务。

希望这些信息对您有所帮助！