OAuth 1.0 -valtuutusongelmat Scalan X API v2:n kanssa STTP:n kautta

OAuth 1.0 -valtuutuksen ratkaiseminen Scalalla ja STTP:llä Twitter-sovellusliittymälle

Tämä komentosarja näyttää, kuinka OAuth 1.0 -pyynnöt allekirjoitetaan Scalassa HMAC-SHA1:n avulla. Se varmistaa modulaarisuuden ja virheiden käsittelyn, mikä johtaa uudelleen käytettävään, ylläpidettävään koodiin.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import org.joda.time.DateTime
import sttp.client4._
import sttp.model.Header
import scala.util.Random
object Auth {
  def urlEncode(text: String): String =
    URLEncoder.encode(text, java.nio.charset.Charset.defaultCharset())
  def generateNonce: String = Random.alphanumeric.take(15).mkString
  def sha1sign(text: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes, "HmacSHA1")
    mac.init(signingKey)
    val signature = mac.doFinal(text.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(signature)
  }
  def createHeader(authData: Map[String, String]): Header = {
    val signatureBaseString = "POST&" + urlEncode("https://api.twitter.com/2/tweets") + "&" +
      urlEncode(authData.toSeq.sorted.map(x => s"${x._1}=${x._2}").mkString("&"))
    val signature = sha1sign(signatureBaseString, "consumerSecret&tokenSecret")
    val authHeader = "OAuth " + authData.map { case (k, v) => s"""$k="${urlEncode(v)}"""" }.mkString(", ") +
      s""", oauth_signature="${urlEncode(signature)}""""
    Header("Authorization", authHeader)
  }
}
object TwitterApi {
  val postEndpoint = "https://api.twitter.com/2/tweets"
  def createPost(text: String): Response = {
    val authData = Map(
      "oauth_consumer_key" -> "yourConsumerKey",
      "oauth_nonce" -> Auth.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> DateTime.now().getMillis.toString,
      "oauth_token" -> "yourToken",
      "oauth_version" -> "1.0"
    )
    val header = Auth.createHeader(authData)
    basicRequest
      .header(header)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"$postEndpoint")
      .send(backend)
  }
}

Vaihtoehtoinen lähestymistapa: OAuth 1.0 mukautetulla Nonce- ja aikaleiman käsittelyllä

Tämä menetelmä virtaviivaistaa allekirjoitusprosessia keskittymällä luomaan räätälöityjä poikkeamia ja aikaleimoja minimaalisilla riippuvuuksilla.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import sttp.client4._
import sttp.model.Header
object OAuthHelper {
  def generateTimestamp: String = (System.currentTimeMillis / 1000).toString
  def generateNonce: String = java.util.UUID.randomUUID().toString.replace("-", "")
  def urlEncode(value: String): String = URLEncoder.encode(value, "UTF-8")
  def hmacSha1(baseString: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA1")
    mac.init(signingKey)
    val rawHmac = mac.doFinal(baseString.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(rawHmac)
  }
}
object TwitterClient {
  def createAuthorizationHeader(params: Map[String, String], signature: String): Header = {
    val headerParams = params.map { case (k, v) => s"""$k="${OAuthHelper.urlEncode(v)}"""" }.mkString(", ")
    Header("Authorization", s"""OAuth $headerParams, oauth_signature="$signature"""")
  }
  def postTweet(text: String): Response = {
    val params = Map(
      "oauth_consumer_key" -> "consumerKey",
      "oauth_nonce" -> OAuthHelper.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> OAuthHelper.generateTimestamp,
      "oauth_token" -> "accessToken",
      "oauth_version" -> "1.0"
    )
    val baseString = "POST&" + OAuthHelper.urlEncode("https://api.twitter.com/2/tweets") + "&" +
      OAuthHelper.urlEncode(params.toSeq.sorted.map { case (k, v) => s"$k=$v" }.mkString("&"))
    val signature = OAuthHelper.hmacSha1(baseString, "consumerSecret&tokenSecret")
    val authHeader = createAuthorizationHeader(params, signature)
    basicRequest
      .header(authHeader)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"https://api.twitter.com/2/tweets")
      .send(backend)
  }
}

Usein kysyttyjä kysymyksiä OAuth 1.0:sta ja Twitterin API-todennusta

1. Miten OAuth 1.0 eroaa OAuth 2.0:sta?
2. OAuth 1.0 käyttää allekirjoituksia ja HMAC-SHA1-salausta turvallisuuden vuoksi, kun taas OAuth 2.0 käyttää token-pohjaista valtuutusta, mikä yksinkertaistaa prosessia, mutta vaatii suojattuja HTTPS-yhteyksiä.
3. Mikä on noncen tarkoitus OAuth 1.0:ssa?
4. Toistohyökkäysten estämiseksi jokainen pyyntö luo ainutlaatuisen merkkijonon, joka tunnetaan nimellä nonce. Se varmistaa, että jokainen pyyntö suoritetaan vain kerran. Scalan avulla voit rakentaa nonce-käytön Random.alphanumeric.take().
5. Miksi URL-koodaus on välttämätön OAuth-pyynnöissä?
6. URL-koodaus on erittäin tärkeä, koska tietyt merkit, kuten et-merkit (&) tai välilyönnit, on koodattava väärintulkintojen välttämiseksi. Käyttää URLEncoder.encode() koodataksesi nämä merkit turvallisesti.
7. Kuinka luon OAuth-allekirjoituksen?
8. Luo OAuth-allekirjoitus luomalla ensin perusmerkkijono pyyntötiedoista ja allekirjoittamalla se sitten HMAC-SHA1-tekniikalla. Käyttää Mac.getInstance("HmacSHA1") aloittaaksesi hajautusprosessin.
9. Mikä voi aiheuttaa 401 luvattoman virheen OAuthissa?
10. 401-virhe voi johtua useista virheistä, mukaan lukien virheellinen allekirjoitus, yhteensopimattomat kuluttaja-avaimet tai sopimaton parametrien koodaus. Varmista aina, että allekirjoitus vastaa pyyntötietoja ja että koodaus on oikea.

Viimeisiä ajatuksia Twitterin OAuth-ongelmien ratkaisemisesta

Voidakseen valtuuttaa OAuth 1.0 -pyynnön oikein Twitterin API:lle kehittäjien on hallittava huolellisesti allekirjoituksia ja otsikoita. Monet ongelmat johtuvat koodausongelmista tai väärän perusmerkkijonomuodon käytöstä. Virheet, kuten "401 luvaton", voidaan estää korjaamalla nämä ongelmat asianmukaisesti.

Lisäksi nonce-luonnin, aikaleiman tarkkuuden ja otsikon muotoilun uudelleentarkistus lisää suuresti valtuutuksen onnistumista. Sha1sign-menetelmän optimointi, tarkan allekirjoituksen laskennan varmistaminen ja OAuth-vaatimusten noudattaminen ovat kriittisiä vaiheita kehitettäessä toimivaa ja automatisoitua X-julkaisusovellusta.