Проблемы авторизации OAuth 1.0 с X API v2 в Scala через STTP

Разрешение авторизации OAuth 1.0 с помощью Scala и STTP для Twitter API

Этот скрипт показывает, как подписывать запросы OAuth 1.0 в Scala с использованием HMAC-SHA1. Он обеспечивает модульность и обработку ошибок, в результате чего получается многократно используемый и поддерживаемый код.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import org.joda.time.DateTime
import sttp.client4._
import sttp.model.Header
import scala.util.Random
object Auth {
  def urlEncode(text: String): String =
    URLEncoder.encode(text, java.nio.charset.Charset.defaultCharset())
  def generateNonce: String = Random.alphanumeric.take(15).mkString
  def sha1sign(text: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes, "HmacSHA1")
    mac.init(signingKey)
    val signature = mac.doFinal(text.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(signature)
  }
  def createHeader(authData: Map[String, String]): Header = {
    val signatureBaseString = "POST&" + urlEncode("https://api.twitter.com/2/tweets") + "&" +
      urlEncode(authData.toSeq.sorted.map(x => s"${x._1}=${x._2}").mkString("&"))
    val signature = sha1sign(signatureBaseString, "consumerSecret&tokenSecret")
    val authHeader = "OAuth " + authData.map { case (k, v) => s"""$k="${urlEncode(v)}"""" }.mkString(", ") +
      s""", oauth_signature="${urlEncode(signature)}""""
    Header("Authorization", authHeader)
  }
}
object TwitterApi {
  val postEndpoint = "https://api.twitter.com/2/tweets"
  def createPost(text: String): Response = {
    val authData = Map(
      "oauth_consumer_key" -> "yourConsumerKey",
      "oauth_nonce" -> Auth.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> DateTime.now().getMillis.toString,
      "oauth_token" -> "yourToken",
      "oauth_version" -> "1.0"
    )
    val header = Auth.createHeader(authData)
    basicRequest
      .header(header)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"$postEndpoint")
      .send(backend)
  }
}

Альтернативный подход: OAuth 1.0 с пользовательским Nonce и обработкой временных меток.

Этот метод упрощает процесс подписи, фокусируясь на создании индивидуальных одноразовых номеров и временных меток с минимальными зависимостями.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import sttp.client4._
import sttp.model.Header
object OAuthHelper {
  def generateTimestamp: String = (System.currentTimeMillis / 1000).toString
  def generateNonce: String = java.util.UUID.randomUUID().toString.replace("-", "")
  def urlEncode(value: String): String = URLEncoder.encode(value, "UTF-8")
  def hmacSha1(baseString: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA1")
    mac.init(signingKey)
    val rawHmac = mac.doFinal(baseString.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(rawHmac)
  }
}
object TwitterClient {
  def createAuthorizationHeader(params: Map[String, String], signature: String): Header = {
    val headerParams = params.map { case (k, v) => s"""$k="${OAuthHelper.urlEncode(v)}"""" }.mkString(", ")
    Header("Authorization", s"""OAuth $headerParams, oauth_signature="$signature"""")
  }
  def postTweet(text: String): Response = {
    val params = Map(
      "oauth_consumer_key" -> "consumerKey",
      "oauth_nonce" -> OAuthHelper.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> OAuthHelper.generateTimestamp,
      "oauth_token" -> "accessToken",
      "oauth_version" -> "1.0"
    )
    val baseString = "POST&" + OAuthHelper.urlEncode("https://api.twitter.com/2/tweets") + "&" +
      OAuthHelper.urlEncode(params.toSeq.sorted.map { case (k, v) => s"$k=$v" }.mkString("&"))
    val signature = OAuthHelper.hmacSha1(baseString, "consumerSecret&tokenSecret")
    val authHeader = createAuthorizationHeader(params, signature)
    basicRequest
      .header(authHeader)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"https://api.twitter.com/2/tweets")
      .send(backend)
  }
}

Часто задаваемые вопросы об OAuth 1.0 и аутентификации Twitter API

1. Чем OAuth 1.0 отличается от OAuth 2.0?
2. OAuth 1.0 использует подписи и шифрование HMAC-SHA1 для обеспечения безопасности, тогда как OAuth 2.0 использует авторизацию на основе токенов, что упрощает процесс, но требует безопасных HTTPS-соединений.
3. Какова цель nonce в OAuth 1.0?
4. Чтобы предотвратить атаки повторного воспроизведения, каждый запрос генерирует уникальную строку, известную как nonce. Это гарантирует, что каждый запрос выполняется только один раз. Scala позволяет вам создавать nonce, используя Random.alphanumeric.take().
5. Почему кодирование URL необходимо в запросах OAuth?
6. Кодирование URL-адреса имеет решающее значение, поскольку некоторые символы, такие как амперсанды (&) или пробелы, должны быть закодированы во избежание неправильной интерпретации. Использовать URLEncoder.encode() для безопасного кодирования этих символов.
7. Как создать подпись OAuth?
8. Чтобы установить подпись OAuth, сначала создайте базовую строку из данных запроса, а затем подпишите ее с помощью метода HMAC-SHA1. Использовать Mac.getInstance("HmacSHA1") чтобы начать процесс хеширования.
9. Что может вызвать ошибку 401 Unauthorized в OAuth?
10. Ошибка 401 может быть вызвана различными ошибками, включая неверную подпись, несовпадающие пользовательские ключи или неподходящую кодировку параметров. Всегда проверяйте, что подпись соответствует данным запроса и что кодировка точна.

Заключительные мысли о решении проблем Twitter OAuth

Чтобы правильно авторизовать запрос OAuth 1.0 к API Twitter, разработчики должны тщательно управлять подписями и заголовками. Многие проблемы вызваны проблемами кодирования или использованием неправильного формата базовой строки. Ошибки, такие как «401 Несанкционировано», можно предотвратить, решив эти проблемы соответствующим образом.

Более того, повторная проверка создания nonce, точности временных меток и форматирования заголовка значительно повышает успешность авторизации. Оптимизация метода sha1sign, обеспечение точного расчета подписи и соблюдение требований OAuth — важнейшие этапы разработки функционального и автоматизированного приложения для публикации X.