STTP 経由の Scala の X API v2 での OAuth 1.0 認証の問題

Twitter API の Scala および STTP を使用した OAuth 1.0 認証の解決

このスクリプトは、HMAC-SHA1 を使用して Scala で OAuth 1.0 リクエストに署名する方法を示します。これによりモジュール性とエラー処理が保証され、再利用可能で保守可能なコードが得られます。

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import org.joda.time.DateTime
import sttp.client4._
import sttp.model.Header
import scala.util.Random
object Auth {
  def urlEncode(text: String): String =
    URLEncoder.encode(text, java.nio.charset.Charset.defaultCharset())
  def generateNonce: String = Random.alphanumeric.take(15).mkString
  def sha1sign(text: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes, "HmacSHA1")
    mac.init(signingKey)
    val signature = mac.doFinal(text.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(signature)
  }
  def createHeader(authData: Map[String, String]): Header = {
    val signatureBaseString = "POST&" + urlEncode("https://api.twitter.com/2/tweets") + "&" +
      urlEncode(authData.toSeq.sorted.map(x => s"${x._1}=${x._2}").mkString("&"))
    val signature = sha1sign(signatureBaseString, "consumerSecret&tokenSecret")
    val authHeader = "OAuth " + authData.map { case (k, v) => s"""$k="${urlEncode(v)}"""" }.mkString(", ") +
      s""", oauth_signature="${urlEncode(signature)}""""
    Header("Authorization", authHeader)
  }
}
object TwitterApi {
  val postEndpoint = "https://api.twitter.com/2/tweets"
  def createPost(text: String): Response = {
    val authData = Map(
      "oauth_consumer_key" -> "yourConsumerKey",
      "oauth_nonce" -> Auth.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> DateTime.now().getMillis.toString,
      "oauth_token" -> "yourToken",
      "oauth_version" -> "1.0"
    )
    val header = Auth.createHeader(authData)
    basicRequest
      .header(header)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"$postEndpoint")
      .send(backend)
  }
}

代替アプローチ: カスタム Nonce およびタイムスタンプ処理を使用した OAuth 1.0

この方法では、依存関係を最小限に抑えた特注のノンスとタイムスタンプの生成に重点を置くことで、署名プロセスを合理化します。

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import sttp.client4._
import sttp.model.Header
object OAuthHelper {
  def generateTimestamp: String = (System.currentTimeMillis / 1000).toString
  def generateNonce: String = java.util.UUID.randomUUID().toString.replace("-", "")
  def urlEncode(value: String): String = URLEncoder.encode(value, "UTF-8")
  def hmacSha1(baseString: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA1")
    mac.init(signingKey)
    val rawHmac = mac.doFinal(baseString.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(rawHmac)
  }
}
object TwitterClient {
  def createAuthorizationHeader(params: Map[String, String], signature: String): Header = {
    val headerParams = params.map { case (k, v) => s"""$k="${OAuthHelper.urlEncode(v)}"""" }.mkString(", ")
    Header("Authorization", s"""OAuth $headerParams, oauth_signature="$signature"""")
  }
  def postTweet(text: String): Response = {
    val params = Map(
      "oauth_consumer_key" -> "consumerKey",
      "oauth_nonce" -> OAuthHelper.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> OAuthHelper.generateTimestamp,
      "oauth_token" -> "accessToken",
      "oauth_version" -> "1.0"
    )
    val baseString = "POST&" + OAuthHelper.urlEncode("https://api.twitter.com/2/tweets") + "&" +
      OAuthHelper.urlEncode(params.toSeq.sorted.map { case (k, v) => s"$k=$v" }.mkString("&"))
    val signature = OAuthHelper.hmacSha1(baseString, "consumerSecret&tokenSecret")
    val authHeader = createAuthorizationHeader(params, signature)
    basicRequest
      .header(authHeader)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"https://api.twitter.com/2/tweets")
      .send(backend)
  }
}

OAuth 1.0 と Twitter API 認証に関するよくある質問

1. OAuth 1.0 は OAuth 2.0 とどう違うのですか?
2. OAuth 1.0 はセキュリティのために署名と HMAC-SHA1 暗号化を使用しますが、OAuth 2.0 はトークンベースの認証を使用するため、プロセスが簡素化されますが、安全な HTTPS 接続が必要になります。
3. OAuth 1.0 の nonce の目的は何ですか?
4. リプレイ攻撃を防ぐために、各リクエストはノンスと呼ばれる一意の文字列を生成します。これにより、各リクエストが 1 回だけ実行されることが保証されます。 Scala では、次を使用して nonce を構築できます。 Random.alphanumeric.take()。
5. OAuth リクエストで URL エンコードが必要なのはなぜですか?
6. アンパサンド (&) やスペースなどの特定の文字は、誤解を避けるためにエンコードする必要があるため、URL エンコードは非常に重要です。使用 URLEncoder.encode() これらの文字を安全にエンコードするために。
7. OAuth 署名を生成するにはどうすればよいですか?
8. OAuth 署名を確立するには、まずリクエスト データからベース文字列を作成し、次に HMAC-SHA1 技術を使用して署名します。使用 Mac.getInstance("HmacSHA1") ハッシュプロセスを開始します。
9. OAuth で 401 Unauthorized エラーが発生する原因は何ですか?
10. 401 エラーは、無効な署名、不一致のコンシューマ キー、不適切なパラメータ エンコーディングなど、さまざまなエラーによって発生する可能性があります。署名がリクエスト データと一致し、エンコードが正確であることを常に確認してください。

Twitter OAuth 問題の解決に関する最終的な考え

Twitter の API に対する OAuth 1.0 リクエストを適切に承認するには、開発者は署名とヘッダーを注意深く管理する必要があります。多くの問題は、エンコードの問題や間違った基本文字列形式の使用によって発生します。これらの問題に適切に対処することで、「401 Unauthorized」などのエラーを防ぐことができます。

さらに、ノンスの作成、タイムスタンプの精度、ヘッダーの形式を再チェックすると、承認の成功率が大幅に向上します。 sha1sign メソッドの最適化、正確な署名計算の保証、OAuth 要件への準拠は、機能的で自動化された X パブリッシング アプリケーションの開発に向けた重要な段階です。