Прошлый ответ теперь неактуален (для нас по крайней мере).
Требования изменились и нам надо было использовать криптопро в любом случае.
Решили это использованием образа https://hub.docker.com/r/required/cryptopro.
Гляньте внимательно как его устанавливать и импортировать ключи. Вам придется скачать себе репозиторий и собирать из локальных файлов а не просто указать имя образа.
Внутри образа надо поднять любым доступным способом апишку, которая будет принимать на вход строку, а отдавать на выход подписанную строку. Это все, для чего нужен этот образ.
Команда для подписи:
#!/bin/bash
cryptcp -signf -dir "/import" -der -strict -cert -detached -thumbprint "$1" -pin "$2" "/import/message" > /dev/null 2>&1
signResult=$?
if [ "$signResult" != "0" ]; then
exit $signResult
fi
cat "/import/message.sgn"
rm -f "/import/message" "/import/message.sgn"
Скрипт апишки:
<?php
$request = $_SERVER['REQUEST_URI'];
list($path,) = explode('?', $request);
switch ($path) {
case '/sign':
$content = file_get_contents('php://input');
$content = str_replace("\n", '', $content);
$content = str_replace("\r", '', $content);
file_put_contents('/import/message', $content);
$cmd = '/import/scripts/signf-cryptcp ' . $_GET['query'] . ' ' . $_GET['pin'];
$data = [
'status' => 'ok',
'cmd' => $cmd,
'signedContent' => safeBase64(shell_exec($cmd))
];
echo json_encode($data);
break;
}
function safeBase64($string)
{
file_put_contents('/import/sig', $string);
$encoded = $string;
$encoded = base64_encode($encoded);
$encoded = str_replace(array('+', '/', '='), array('-', '_', ''), $encoded);
file_put_contents('/import/sig-encoded', $encoded);
return $encoded;
}
Апишка дергается таким образом:
$query = 'find_type='.$findType.'&query='.$certQuery.'&pin='.$keyPin;
$cmd = 'echo "'.$message.'" | curl -sS -X POST --data-binary @- "'.$apiUrl.'/sign?'.$query.'"';
- $findType = 'sha1': метод поиска сертификата в контейнере
- $certQuery: хеш загруженного в контейнер с криптопро сертификата (типа
идентификатора).
- $keyPin: Пин, или ключ, или мнемоника. Точно не помню как это в терминах госуслуг или криптопро.
- $message: Строка для подписи
- $apiUrl: урлик апишки в контейнере криптопро
Итак, мы умеем подписывать строки. Что дальше?
В качестве OAuth клиента использовали https://github.com/ekapusta/oauth2-esia
Но в итоге пришлось кое-что переписать
<?php
/* ПРИШЛОСЬ ПОЛНОСТЬЮ СКОПИПАСТИТЬ КЛАСС Ekapusta\OAuth2Esia\Provider\EsiaProvider, т.к. некоторые вещи private */
namespace app\components\oauth;
use Ekapusta\OAuth2Esia\Interfaces\Provider\ProviderInterface;
use Ekapusta\OAuth2Esia\Interfaces\Security\SignerInterface;
use Ekapusta\OAuth2Esia\Interfaces\Token\ScopedTokenInterface;
use Ekapusta\OAuth2Esia\Token\EsiaAccessToken;
use InvalidArgumentException;
use Lcobucci\JWT\Parsing\Encoder;
use League\OAuth2\Client\Grant\AbstractGrant;
use League\OAuth2\Client\Provider\AbstractProvider;
use League\OAuth2\Client\Provider\Exception\IdentityProviderException;
use League\OAuth2\Client\Provider\GenericResourceOwner;
use League\OAuth2\Client\Token\AccessToken;
use League\OAuth2\Client\Tool\BearerAuthorizationTrait;
use Psr\Http\Message\ResponseInterface;
use Ramsey\Uuid\Uuid;
class EsiaProvider extends AbstractProvider implements ProviderInterface
{
use BearerAuthorizationTrait;
const RESOURCES = __DIR__.'/../../resources/';
protected $defaultScopes = ['openid', 'fullname'];
protected $remoteUrl = 'https://esia.gosuslugi.ru';
protected $remoteCertificatePath = self::RESOURCES.'esia.prod.cer';
/**
* @var SignerInterface
*/
private $signer;
/**
* @var Encoder
*/
private $encoder;
public function __construct(array $options = [], array $collaborators = [])
{
parent::__construct($options, $collaborators);
if (!filter_var($this->remoteUrl, FILTER_VALIDATE_URL)) {
throw new InvalidArgumentException('Remote URL is not provided!');
}
if (!file_exists($this->remoteCertificatePath)) {
throw new InvalidArgumentException('Remote certificate is not provided!');
}
if (isset($collaborators['signer']) && $collaborators['signer'] instanceof SignerInterface) {
$this->signer = $collaborators['signer'];
$this->encoder = new Encoder();
} else {
throw new InvalidArgumentException('Signer is not provided!');
}
}
public function getBaseAuthorizationUrl()
{
return $this->getUrl('/aas/oauth2/ac');
}
protected function getAuthorizationParameters(array $options)
{
$options = [
'access_type' => 'online',
'approval_prompt' => null,
'timestamp' => $this->getTimeStamp(),
] + parent::getAuthorizationParameters($options);
return $this->withClientSecret($options);
}
/**
* @param array $params
*
* @return array
*/
private function withClientSecret(array $params)
{
$message = $params['scope'].$params['timestamp'].$params['client_id'].$params['state'];
$signature = $this->signer->sign($message);
// $params['client_secret'] = $this->encoder->base64UrlEncode($signature);
$params['client_secret'] = $signature; // т.к. криптопро возвращает уже кодированную строку
return $params;
}
protected function getRandomState($length = 32)
{
return Uuid::uuid4()->toString();
}
public function generateState()
{
return $this->getRandomState();
}
private function getTimeStamp()
{
return date('Y.m.d H:i:s O');
}
public function getBaseAccessTokenUrl(array $params)
{
return $this->getUrl('/aas/oauth2/te');
}
public function getResourceOwnerDetailsUrl(AccessToken $token)
{
$embeds = $this->getResourceOwnerEmbeds($token);
return $this->getUrl('/rs/prns/'.$token->getResourceOwnerId().'?embed=('.implode(',', $embeds).')');
}
private function getResourceOwnerEmbeds(ScopedTokenInterface $token)
{
$allowedScopes = $token->getScopes();
$embedsToScopes = [
'contacts.elements' => [
'contacts',
'email',
'mobile',
],
'addresses.elements' => [
'contacts',
],
'documents.elements' => [
'id_doc',
'medical_doc',
'military_doc',
'foreign_passport_doc',
'drivers_licence_doc',
'birth_cert_doc',
'residence_doc',
'temporary_residence_doc',
],
'vehicles.elements' => [
'vehicles',
],
'organizations.elements' => [
'usr_org',
],
];
$allowedEmbeds = [];
foreach ($embedsToScopes as $embed => $scopes) {
if (count(array_intersect($allowedScopes, $scopes))) {
$allowedEmbeds[] = $embed;
}
}
return $allowedEmbeds;
}
private function getUrl($path)
{
return $this->remoteUrl.$path;
}
protected function getDefaultScopes()
{
return $this->defaultScopes;
}
protected function getScopeSeparator()
{
return ' ';
}
protected function getAccessTokenRequest(array $params)
{
$params = $params + [
'scope' => 'openid',
'state' => $this->getRandomState(),
'timestamp' => $this->getTimeStamp(),
'token_type' => 'Bearer',
];
return parent::getAccessTokenRequest($this->withClientSecret($params));
}
protected function checkResponse(ResponseInterface $response, $data)
{
if ($response->getStatusCode() >= 400 || isset($data['error'])) {
throw new IdentityProviderException(
isset($data['error']) ? $data['error'] : $response->getReasonPhrase(),
$response->getStatusCode(),
(string) $response->getBody()
);
}
}
protected function createAccessToken(array $response, AbstractGrant $grant)
{
return new EsiaAccessToken($response, $this->remoteCertificatePath);
}
protected function createResourceOwner(array $response, AccessToken $token)
{
$response = ['resourceOwnerId' => $token->getResourceOwnerId()] + $response;
return new GenericResourceOwner($response, 'resourceOwnerId');
}
}
<?php
namespace app\components\oauth;
use Ekapusta\OAuth2Esia\Security\Signer;
class CryptoProApiSigner extends Signer
{
public function __construct($params)
{
$this->keyPin = $params['keyPin'] ?? null;
$this->findType = $params['findType'] ?? 'sha1';
$this->certQuery = $params['certQuery'] ?? null;
$this->apiUrl = $params['apiUrl'] ?? null;
}
public function sign($message)
{
$response = $this->request($message);
$response = json_decode($response, true);
$sig = $response['signedContent'] ?? null;
file_put_contents(__DIR__ . '/message', $message);
file_put_contents(__DIR__ . '/sig.json', print_r($response, true));
file_put_contents(__DIR__ . '/sig', $sig);
return $sig;
}
public function request($message)
{
$certQuery = 'find_type=' . $this->findType . '&query=' . $this->certQuery . '&pin=' . $this->keyPin;
$cmd = 'echo "' . $message . '" | curl -sS -X POST --data-binary @- "' . $this->apiUrl . '/sign?' . $certQuery . '"';
file_put_contents(__DIR__ . '/cmd', $cmd);
return shell_exec($cmd);
}
}
Как использовать
<?php
$provider = new EsiaProvider([
'clientId' => $this->config['client_id'] ?? null,
'redirectUri' => $redirectUrl ?? $this->config['redirect_uri'] ?? null,
'defaultScopes' => $this->config['default_scope'] ?? null,
'remoteUrl' => $this->config['portal_url'] ?? null,
'remoteCertificatePath' => $this->config['remote_cert_path'] ?? null,
], [
'signer' => new CryptoProApiSigner(
[
'keyPin' => $this->config['pin'],
'certQuery' => $this->config['cert_sha1'],
'apiUrl' => $this->config['signer_api_url']
]
)
]);
// получение урлика для редиректа на госуслуги
$redirectUrl = $_POST['redirectUrl'];
$provider = $this->getProvider($redirectUrl);
$state = $provider->generateState();
$params = [
'state' => $state,
];
try {
$authUrl = $provider->getAuthorizationUrl($params);
} catch (\Exception $e) {
echo $e->getMessage();
}
return [
'authUrl' => $authUrl,
'state' => $state
];
// получение токена и данных
$redirectUrl = $_POST['redirectUrl'];
$provider = $this->getProvider($redirectUrl);
$accessToken = $provider->getAccessToken('authorization_code', ['code' => $_POST['code'] ?? null]);
if (!$accessToken) {
return null;
}
$esiaPersonData = $provider->getResourceOwner($accessToken);
if (!$esiaPersonData) {
return null;
}
$userDataArray = $esiaPersonData->toArray();
return $userDataArray;
P.S. Код выдергивался и правился из проекта, поэтому на 100% рабочесть не претендует, но зато видно сценарий.