测试一下评论

写了个简单的评论系统,封面的恐龙就是 Logo,如果用 Github 登录的话可以看得到。

测试一下评论

虽然没有人看,但还是想给 ook.dev 加个评论系统。

最初方案肯定是 Disqus,但使用 Disqus 的话要引入一个 JS 文件,而它会 document.write 一堆东西,再插个 iframe 进来。需要引入的东西太多,不能保证可控,而且与 ook.dev 的安全策略抵触。

Disqus 有两点很有意思:

再加上 Disqus 分配的二级域名。Hostname 和内容 ID 可以唯一的确定评论内容的归属。如果用一个独立的页面承载评论,那在 URL 里加上这两个参数,就可以只用一个 iframe 完成外挂评论的功能。完全独立,不需要同域,也不引入需要额外的脚本。总之这个想法就这么冒了出来。

其它第三方评论

在那之前,先找来现有第三方评论系统看了一下。实现上有服务端的大同小异,无服务端的倒是各有千秋。 // 这里居然用了两个成语

无服务端一类:Staticman 最硬核 … 但是喜欢不起来。Gitalk 挺好的,Feddy 的博客就在用,但是有一大副作用是在 Github 产生大量内容,尤其 Issue 比站点权重高,搜索的时候十分尴尬。Valine 很精致,利用 LeanCloud 直接在前端提交,而且文档表示有计划增加 Firebase。有过给 Feddy 换成 Valine 的想法,不过没什么必要。

有服务端的都差不多。在这里面喜欢 Isso,非常非常喜欢,可以自行部署,数据库只是一个 SqliteDB,文档提到“评论不属于大量内容”,如果它是用 Golang 写的那马上整一个。前面的想法依旧在萌动 … 仿个 Isso 出来罢。

最简单的匿名评论

于是用 Golang 做了类似的事情,实现上同前面的内容相似,一个页面用于展示评论内容。阻止了搜索引擎收录。页面需要额外的 hostname 和 target 参数在 URL 中,用以判断评论归属。Hostname 本是可以省略的,自用的话。但是将来需要再改就太麻烦了,也放进来好了。

另外两个接口获取 / 提交评论内容。分页暂时不需要,增加最大数量限制就好。与内容一同提交的还有可选的邮箱,昵称和站点地址,真的是在仿 Isso。

通过 postMessage 通知更新 iframe 高度

慢着,内容增多之后,iframe 不会变高对吧?同时跨域也导致无法直接获取 iframe 内容高度。好在 postMessage 可以解决这个问题,评论变多的时候往 parent 吼一下。浏览器兼容性什么的?last five versions 就好。

加个登录?

嗯,可以,虽然有些细节没处理,头像也没加。跑到别人采用了 Disqus 的博客去感受一下,完全不支持匿名评论,不清楚是不是特意关掉了。嗯,也对,加个第三方登录更讲究,至少来个 Github。

好在 Github,Google 之类的申请权限很简单。这里顺便画了个 Logo 给 GitHub 这边,选颜色调边角用了蛮久。

选个库来做第三方登录吧,goth 看起来不错,支持那么多,examples 看着也挺好,把获取的 key 填进去感觉挺不错。不过问题在于,gothic 这个包和 Gollria 太耦合了,而直接用 goth 体验又不好。// Gothic 一个希望解耦的 issue 2017 年的,到现在还没解决。

还是用 golang/oauth2 吧。圣斗士不会被同一个招式打败两次 … 程序员也不想把一段代码写好几遍 … 这里是两点,为 Google 和 GitHub 写 OAuth 逻辑时,肯定有很多地方是重复的,能抽出来就抽出来。另一个是 Golang 有好多 if err != nil,看起来很糟糕。打开 Google 试图寻找一些 meme 233。看了一些文章和讨论,最后看到 Golang Blog,errors are values。总之对 error 加深了一些认识吧。

算了,去掉匿名评论

好,实现的差不多了,还有一些细节要处理,再就是头像从服务商下载过来比较好一些?

不,比起那些,登录成功之后怎么通知到页面?如果 window.open 开一个窗口,是可以不停的查询结果并关闭窗口的,但是“不停的”听起来就不怎么优雅,即便登录成功之前时间不会很久。

那,postMessage?不,登录页面会跳走到服务商,再回来的时候事件已经没有了,收不到通知。

不然做成本页面跳转到登录地址,事后再跳回来?可以,但是 URL 里的 target 和 hostname 会丢,需要存在哪里。直接放 url 的话回来就没了,用本地存储又很奇怪。最合理的办法看起来是放 url 里,服务端拿到之后存在什么地方,登录成功之后再带上重定向回来。可以,但是依然很奇怪,而且怎么解决对应关系呢?

不过,OAuth 有个 state(拍脑袋),为了安全建议 state 为动态生成有效期和整个验证过程一致,而且服务商收到之后重定向回来的时候会带上。正好用这个,存数据库,state 做 key,初始 URL 做值,再加个时间。auth/name 的时候就生成 state 并且存储原始 url。到 /auth/name/callback 的时候通过 state 找到对应的 url,同时判断时间间隔,不合理直接丢弃。这里还需要个“已用”的值确保 state 不被记录下来。

其它

哦对,这个所谓的评论页面是服务端渲染的,因为功能太简单所以看起来没必要加第三方库,更不用说 React 之类的东西。大概,目前是这么设计的。

暂时,暂时是写到这里,2019.4.7.Sun 23.55,实际需要解决的问题还有很多,而且写着写着会有新的思路冒出来,改不改?不知道还有多久能搞好丢上线。

补充一下

考虑砍掉 Ajax 而直接采用原生 Form 来创建评论,因为已经在使用 URL 来传递服务端的返回信息了,而且懒得写一堆 JS 来弹消息。不过这个还没有做,先这样吧,反正没人访问,而且挂掉也没关系。

其他修改