Авторизация и подпись

Параметры iframe

Контейнер открывает ваш адрес методом GET со следующими параметрами:

Алгоритм подписи

Отсортируйте все параметры по имени (кроме sig), соедините как имя=значение без разделителей, допишите секрет и возьмите md5:

sig = md5( "application_key=…" + "auth_sig=…" + "device=d" + … + "viewer_id=42" + application_secret )

PHP:

function sv_sign(array $params, string $secret): string {
    unset($params['sig']); ksort($params);
    $s = ''; foreach ($params as $k => $v) $s .= $k . '=' . $v;
    return md5($s . $secret);
}
if (!hash_equals(sv_sign($_GET, APP_SECRET), $_GET['sig'] ?? '')) die('bad sig');
$viewer = (int)$_GET['viewer_id'];

Для вызовов API подпись считается так же, но секретом служит session_secret_key (вызов от имени пользователя) либо application_secret (серверный вызов без сессии, с параметром uid).

Вызов метода

GET http://api.apelsinki.com/api/v1/users.getCurrentUser?application_key=…&session_key=…&sig=…
=> {"response": {"uid": 42, "first_name": "Игорь", …}}
=> {"error": {"code": "BAD_SIG", "msg": "…"}}

Допустимы GET и POST. С параметром callback=имя ответ придёт как JSONP.