Проблеми з авторизацією OAuth 1.0 із X API v2 у Scala через STTP

Вирішення авторизації OAuth 1.0 за допомогою Scala та STTP для Twitter API

Цей скрипт показує, як підписувати запити OAuth 1.0 у Scala за допомогою HMAC-SHA1. Це забезпечує модульність і обробку помилок, що призводить до багаторазового використання та обслуговування коду.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import org.joda.time.DateTime
import sttp.client4._
import sttp.model.Header
import scala.util.Random
object Auth {
  def urlEncode(text: String): String =
    URLEncoder.encode(text, java.nio.charset.Charset.defaultCharset())
  def generateNonce: String = Random.alphanumeric.take(15).mkString
  def sha1sign(text: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes, "HmacSHA1")
    mac.init(signingKey)
    val signature = mac.doFinal(text.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(signature)
  }
  def createHeader(authData: Map[String, String]): Header = {
    val signatureBaseString = "POST&" + urlEncode("https://api.twitter.com/2/tweets") + "&" +
      urlEncode(authData.toSeq.sorted.map(x => s"${x._1}=${x._2}").mkString("&"))
    val signature = sha1sign(signatureBaseString, "consumerSecret&tokenSecret")
    val authHeader = "OAuth " + authData.map { case (k, v) => s"""$k="${urlEncode(v)}"""" }.mkString(", ") +
      s""", oauth_signature="${urlEncode(signature)}""""
    Header("Authorization", authHeader)
  }
}
object TwitterApi {
  val postEndpoint = "https://api.twitter.com/2/tweets"
  def createPost(text: String): Response = {
    val authData = Map(
      "oauth_consumer_key" -> "yourConsumerKey",
      "oauth_nonce" -> Auth.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> DateTime.now().getMillis.toString,
      "oauth_token" -> "yourToken",
      "oauth_version" -> "1.0"
    )
    val header = Auth.createHeader(authData)
    basicRequest
      .header(header)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"$postEndpoint")
      .send(backend)
  }
}

Альтернативний підхід: OAuth 1.0 із користувальницькою обробкою Nonce та Timestamp

Цей метод оптимізує процес підпису, зосереджуючись на створенні налаштованих одноразових номерів і позначок часу з мінімальними залежностями.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import sttp.client4._
import sttp.model.Header
object OAuthHelper {
  def generateTimestamp: String = (System.currentTimeMillis / 1000).toString
  def generateNonce: String = java.util.UUID.randomUUID().toString.replace("-", "")
  def urlEncode(value: String): String = URLEncoder.encode(value, "UTF-8")
  def hmacSha1(baseString: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA1")
    mac.init(signingKey)
    val rawHmac = mac.doFinal(baseString.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(rawHmac)
  }
}
object TwitterClient {
  def createAuthorizationHeader(params: Map[String, String], signature: String): Header = {
    val headerParams = params.map { case (k, v) => s"""$k="${OAuthHelper.urlEncode(v)}"""" }.mkString(", ")
    Header("Authorization", s"""OAuth $headerParams, oauth_signature="$signature"""")
  }
  def postTweet(text: String): Response = {
    val params = Map(
      "oauth_consumer_key" -> "consumerKey",
      "oauth_nonce" -> OAuthHelper.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> OAuthHelper.generateTimestamp,
      "oauth_token" -> "accessToken",
      "oauth_version" -> "1.0"
    )
    val baseString = "POST&" + OAuthHelper.urlEncode("https://api.twitter.com/2/tweets") + "&" +
      OAuthHelper.urlEncode(params.toSeq.sorted.map { case (k, v) => s"$k=$v" }.mkString("&"))
    val signature = OAuthHelper.hmacSha1(baseString, "consumerSecret&tokenSecret")
    val authHeader = createAuthorizationHeader(params, signature)
    basicRequest
      .header(authHeader)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"https://api.twitter.com/2/tweets")
      .send(backend)
  }
}

Поширені запитання про автентифікацію OAuth 1.0 і Twitter API

1. Чим OAuth 1.0 відрізняється від OAuth 2.0?
2. OAuth 1.0 використовує підписи та шифрування HMAC-SHA1 для безпеки, тоді як OAuth 2.0 використовує авторизацію на основі маркерів, що спрощує процес, але потребує безпечних з’єднань HTTPS.
3. Яке призначення nonce в OAuth 1.0?
4. Щоб запобігти атакам відтворення, кожен запит генерує унікальний рядок, відомий як nonce. Це гарантує, що кожен запит виконується лише один раз. Scala дозволяє створювати nonce за допомогою Random.alphanumeric.take().
5. Навіщо необхідне кодування URL-адрес у запитах OAuth?
6. Кодування URL-адреси має вирішальне значення, оскільки певні символи, наприклад амперсанди (&) або пробіли, потрібно кодувати, щоб уникнути неправильного тлумачення. використання URLEncoder.encode() щоб безпечно кодувати ці символи.
7. Як створити підпис OAuth?
8. Щоб встановити підпис OAuth, спочатку створіть базовий рядок із даних запиту, а потім підпишіть його за допомогою техніки HMAC-SHA1. використання Mac.getInstance("HmacSHA1") щоб почати процес хешування.
9. Що може викликати помилку 401 Unauthorized в OAuth?
10. Помилка 401 може бути спричинена різними помилками, зокрема недійсним підписом, невідповідними ключами споживача або невідповідним кодуванням параметрів. Завжди переконайтеся, що підпис відповідає даним запиту та що кодування є точним.

Останні думки щодо вирішення проблем OAuth у Twitter

Щоб правильно авторизувати запит OAuth 1.0 для API Twitter, розробники повинні ретельно керувати підписами та заголовками. Багато проблем виникають через проблеми з кодуванням або використання неправильного формату основного рядка. Помилки на кшталт «401 неавторизовано» можна запобігти, вирішивши ці проблеми належним чином.

Крім того, повторна перевірка створення nonce, точності часових позначок і форматування заголовків значно підвищує успішність авторизації. Оптимізація методу sha1sign, забезпечення точного обчислення підпису та дотримання вимог OAuth є критичними етапами розробки функціональної й автоматизованої програми для публікації X.