Problémy s autorizací OAuth 1.0 s X API v2 ve Scala přes STTP

Řešení autorizace OAuth 1.0 se Scala a STTP pro Twitter API

Tento skript ukazuje, jak podepisovat požadavky OAuth 1.0 ve Scala pomocí HMAC-SHA1. Zajišťuje modularitu a zpracování chyb, výsledkem čehož je opakovaně použitelný a udržovatelný kód.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import org.joda.time.DateTime
import sttp.client4._
import sttp.model.Header
import scala.util.Random
object Auth {
  def urlEncode(text: String): String =
    URLEncoder.encode(text, java.nio.charset.Charset.defaultCharset())
  def generateNonce: String = Random.alphanumeric.take(15).mkString
  def sha1sign(text: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes, "HmacSHA1")
    mac.init(signingKey)
    val signature = mac.doFinal(text.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(signature)
  }
  def createHeader(authData: Map[String, String]): Header = {
    val signatureBaseString = "POST&" + urlEncode("https://api.twitter.com/2/tweets") + "&" +
      urlEncode(authData.toSeq.sorted.map(x => s"${x._1}=${x._2}").mkString("&"))
    val signature = sha1sign(signatureBaseString, "consumerSecret&tokenSecret")
    val authHeader = "OAuth " + authData.map { case (k, v) => s"""$k="${urlEncode(v)}"""" }.mkString(", ") +
      s""", oauth_signature="${urlEncode(signature)}""""
    Header("Authorization", authHeader)
  }
}
object TwitterApi {
  val postEndpoint = "https://api.twitter.com/2/tweets"
  def createPost(text: String): Response = {
    val authData = Map(
      "oauth_consumer_key" -> "yourConsumerKey",
      "oauth_nonce" -> Auth.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> DateTime.now().getMillis.toString,
      "oauth_token" -> "yourToken",
      "oauth_version" -> "1.0"
    )
    val header = Auth.createHeader(authData)
    basicRequest
      .header(header)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"$postEndpoint")
      .send(backend)
  }
}

Alternativní přístup: OAuth 1.0 s vlastním nonce a zpracováním časového razítka

Tato metoda zjednodušuje proces podpisu tím, že se zaměřuje na generování zákaznických nonces a časových razítek s minimálními závislostmi.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import sttp.client4._
import sttp.model.Header
object OAuthHelper {
  def generateTimestamp: String = (System.currentTimeMillis / 1000).toString
  def generateNonce: String = java.util.UUID.randomUUID().toString.replace("-", "")
  def urlEncode(value: String): String = URLEncoder.encode(value, "UTF-8")
  def hmacSha1(baseString: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA1")
    mac.init(signingKey)
    val rawHmac = mac.doFinal(baseString.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(rawHmac)
  }
}
object TwitterClient {
  def createAuthorizationHeader(params: Map[String, String], signature: String): Header = {
    val headerParams = params.map { case (k, v) => s"""$k="${OAuthHelper.urlEncode(v)}"""" }.mkString(", ")
    Header("Authorization", s"""OAuth $headerParams, oauth_signature="$signature"""")
  }
  def postTweet(text: String): Response = {
    val params = Map(
      "oauth_consumer_key" -> "consumerKey",
      "oauth_nonce" -> OAuthHelper.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> OAuthHelper.generateTimestamp,
      "oauth_token" -> "accessToken",
      "oauth_version" -> "1.0"
    )
    val baseString = "POST&" + OAuthHelper.urlEncode("https://api.twitter.com/2/tweets") + "&" +
      OAuthHelper.urlEncode(params.toSeq.sorted.map { case (k, v) => s"$k=$v" }.mkString("&"))
    val signature = OAuthHelper.hmacSha1(baseString, "consumerSecret&tokenSecret")
    val authHeader = createAuthorizationHeader(params, signature)
    basicRequest
      .header(authHeader)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"https://api.twitter.com/2/tweets")
      .send(backend)
  }
}

Nejčastější dotazy týkající se OAuth 1.0 a ověřování Twitter API

1. Jak se liší protokol OAuth 1.0 od protokolu OAuth 2.0?
2. OAuth 1.0 používá pro zabezpečení podpisy a šifrování HMAC-SHA1, zatímco OAuth 2.0 používá autorizaci založenou na tokenech, což zjednodušuje proces, ale vyžaduje zabezpečené připojení HTTPS.
3. Jaký je účel nonce v OAuth 1.0?
4. Aby se zabránilo opakovaným útokům, každý požadavek generuje jedinečný řetězec známý jako nonce. Zajišťuje, že každý požadavek je proveden pouze jednou. Scala vám umožňuje vytvořit nonce pomocí Random.alphanumeric.take().
5. Proč je v požadavcích OAuth nutné kódování URL?
6. Kódování adresy URL je zásadní, protože určité znaky, jako jsou ampersandy (&) nebo mezery, musí být zakódovány, aby nedošlo k chybné interpretaci. Použití URLEncoder.encode() pro bezpečné zakódování těchto znaků.
7. Jak vygeneruji podpis OAuth?
8. Chcete-li vytvořit podpis OAuth, nejprve vytvořte základní řetězec z dat požadavku a poté jej podepište technikou HMAC-SHA1. Použití Mac.getInstance("HmacSHA1") pro zahájení procesu hashování.
9. Co může způsobit chybu 401 Unauthorized v OAuth?
10. Chyba 401 může být způsobena řadou chyb, včetně neplatného podpisu, neshodných zákaznických klíčů nebo nevhodného kódování parametrů. Vždy se ujistěte, že podpis odpovídá datům požadavku a že kódování je přesné.

Závěrečné myšlenky na řešení problémů Twitter OAuth

Pro správnou autorizaci požadavku OAuth 1.0 pro Twitter API musí vývojáři pečlivě spravovat podpisy a hlavičky. Mnoho problémů je způsobeno problémy s kódováním nebo použitím nesprávného formátu základního řetězce. Chybám, jako je „401 Unauthorized“, lze předejít vhodným řešením těchto problémů.

Kromě toho opětovná kontrola vytvoření nonce, přesnosti časového razítka a formátování záhlaví výrazně zvyšuje úspěšnost autorizace. Optimalizace metody sha1sign, zajištění přesného výpočtu podpisu a dodržování požadavků OAuth jsou kritickými fázemi pro vývoj funkční a automatizované aplikace pro publikování X.