php - 我如何与 Coinbase 的 API 交互？为什么总是失败？

Question

访问 Coinbase API 曾经非常简单:您只需要一个 API key 。现在你需要一个叫做“随机数”和“签名”的东西。我在请求中传递了我的新 API“Secret”、nonce 和 Key，但它返回了“invalid_key”错误。给了什么？

编辑 3 月 12 日: Added a tutorial on interacting with the API via OAuth.

Answer 1

API 过去非常简单——只需要一个 key ——这一事实意味着它非常不安全。所以他们在一周前加强了安全措施。这是博客文章:

http://blog.coinbase.com/post/75936737678/more-security-and-granular-control-with-the-new-api

除了 API key 之外，每个人现在都获得了一个 API“ secret ”。无论何时向 API 发出请求，都必须包含三个参数:

• 您的 API key 。
• 一个“nonce”，它是您用来识别某物的唯一数字。在这种情况下，您发出的每个请求都需要有一个新数字，并且每个请求的随机数都必须大于之前的请求。
• 您的 API“签名”。这不是您的 API“ secret ”。

签名是您的随机数，紧接着是您要向其发布请求、参数和所有内容的完整 URL。这个 URL 也包含随机数，所以整个事情看起来像这样:

12345https://coinbase.com/api/v1/buttons?nonce=12345&name=Socks&price=9.95

然后你将整个东西编码为“SHA256”散列。如果您不知道那是什么意思，请不要 panic ——您可以使用 PHP 已经内置的函数在一行中完成。

无论如何，我在弄清楚这一切时遇到了一些麻烦，所以我花了一些时间并整理了这个脚本，这使得获取和发送到 API 变得非常容易。我很想听听人们的想法!

<?php

function coinbaseRequest($what,$getOrPost,$parameters){

//Obviously, your API Key and Secret go here.
$apikey = "blahblahblah";
$apisecret = "blahblahblahblah";    
$nonce = file_get_contents("nonce.txt") + 1;
file_put_contents("nonce.txt", $nonce, LOCK_EX);

$url = "https://coinbase.com/api/v1/" . $what . "?nonce=" . $nonce;

if($parameters != ""){
$parameters = http_build_query(json_decode($parameters), true);
}

//Here I go, hashing the Signature! Thanks, PHP, for making this easy!

$signature = hash_hmac("sha256", $nonce . $url . $parameters, $apisecret);

$ch = curl_init();

curl_setopt_array($ch, array(
    CURLOPT_URL => $url,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_HTTPHEADER => array(
        "ACCESS_KEY: " . $apikey,
        "ACCESS_NONCE: " . $nonce,
        "ACCESS_SIGNATURE: " . $signature
    )));

if($getOrPost == "post"){
curl_setopt_array($ch, array(
    CURLOPT_POSTFIELDS => $parameters,
    CURLOPT_POST => true,
));
}

$results = curl_exec($ch);
curl_close($ch);

echo $results;
}

//This is a POST example.
coinbaseRequest("buttons", "post", '{
    "button": {
    "name": "test",
    "price_string": "1.23",
    "price_currency_iso": "USD",
    "variable_price": true
    }
}');


//This is a GET example.
coinbaseRequest("account/balance", "get", false);

?>

注意事项:

• 我尝试使用 (microtime(true)*100) 作为随机数。问题是它是一个十进制数，最后几位数字不断被舍去或四舍五入，所以它不起作用。然后我想，“去他妈的”，制作了一个空白的 nonce.txt 文件，并在其中写入了 1，为了获得 nonce，我只获取了该文件的内容，添加了 1，并用新编号替换了文件。它的第二个用途是作为计数器显示我发出的请求总数。

  但是后来有人向我指出了 PHP 的“uniqid”函数，它根据当前微时间生成一个 ID。所以你也可以试试这个:

  $nonce = hexdec(uniqid());
  

  这具有不访问外部文件的优点。实际上，我真的很喜欢能够看到我发出了多少请求，因此可能会坚持使用(糟糕的)nonce.txt 方法。

• coinbaseRequest() 函数具有三个参数。第一个是您向其发出请求的目录——也就是说，“https://coinbase.com/api/v1/”之后应该出现的任何内容。第二个参数是“get”或“post”，取决于它是 GET 还是 POST 请求。 (有道理吗？)

  第三个参数是您在请求中传递的所有查询。这应该被格式化为 JSON，除非它是一个不带任何参数的 GET 请求(除了函数为您包含的 key 、随机数和签名之外)，在这种情况下您应该将其保留为 false.

编辑，3 月 3 日:

我做了一个小函数来获取 coinbaseRequest 返回的任何内容并将其变成一个按钮:

function makebutt($data){

$data = json_decode($data,true);
$buttoncode = $data["button"]["code"];

return ("<a class=\"coinbase-button\" data-code=\"" . $buttoncode . "\" href=\"https://coinbase.com/checkouts/" . $buttoncode . "\">Pay With Bitcoin</a><script src=\"https://coinbase.com/assets/button.js\" type=\"text/javascript\"></script>");
}