Sự cố ủy quyền OAuth 1.0 với X API v2 trong Scala qua STTP

Giải quyết ủy quyền OAuth 1.0 bằng Scala và STTP cho API Twitter

Tập lệnh này hiển thị cách ký các yêu cầu OAuth 1.0 trong Scala bằng HMAC-SHA1. Nó đảm bảo tính mô-đun và xử lý lỗi, dẫn đến mã có thể tái sử dụng và bảo trì được.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import org.joda.time.DateTime
import sttp.client4._
import sttp.model.Header
import scala.util.Random
object Auth {
  def urlEncode(text: String): String =
    URLEncoder.encode(text, java.nio.charset.Charset.defaultCharset())
  def generateNonce: String = Random.alphanumeric.take(15).mkString
  def sha1sign(text: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes, "HmacSHA1")
    mac.init(signingKey)
    val signature = mac.doFinal(text.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(signature)
  }
  def createHeader(authData: Map[String, String]): Header = {
    val signatureBaseString = "POST&" + urlEncode("https://api.twitter.com/2/tweets") + "&" +
      urlEncode(authData.toSeq.sorted.map(x => s"${x._1}=${x._2}").mkString("&"))
    val signature = sha1sign(signatureBaseString, "consumerSecret&tokenSecret")
    val authHeader = "OAuth " + authData.map { case (k, v) => s"""$k="${urlEncode(v)}"""" }.mkString(", ") +
      s""", oauth_signature="${urlEncode(signature)}""""
    Header("Authorization", authHeader)
  }
}
object TwitterApi {
  val postEndpoint = "https://api.twitter.com/2/tweets"
  def createPost(text: String): Response = {
    val authData = Map(
      "oauth_consumer_key" -> "yourConsumerKey",
      "oauth_nonce" -> Auth.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> DateTime.now().getMillis.toString,
      "oauth_token" -> "yourToken",
      "oauth_version" -> "1.0"
    )
    val header = Auth.createHeader(authData)
    basicRequest
      .header(header)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"$postEndpoint")
      .send(backend)
  }
}

Phương pháp thay thế: OAuth 1.0 với Xử lý dấu thời gian và dấu thời gian tùy chỉnh

Phương pháp này hợp lý hóa quy trình chữ ký bằng cách tập trung vào việc tạo ra các dấu thời gian và dấu thời gian riêng biệt với mức độ phụ thuộc tối thiểu.

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import sttp.client4._
import sttp.model.Header
object OAuthHelper {
  def generateTimestamp: String = (System.currentTimeMillis / 1000).toString
  def generateNonce: String = java.util.UUID.randomUUID().toString.replace("-", "")
  def urlEncode(value: String): String = URLEncoder.encode(value, "UTF-8")
  def hmacSha1(baseString: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA1")
    mac.init(signingKey)
    val rawHmac = mac.doFinal(baseString.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(rawHmac)
  }
}
object TwitterClient {
  def createAuthorizationHeader(params: Map[String, String], signature: String): Header = {
    val headerParams = params.map { case (k, v) => s"""$k="${OAuthHelper.urlEncode(v)}"""" }.mkString(", ")
    Header("Authorization", s"""OAuth $headerParams, oauth_signature="$signature"""")
  }
  def postTweet(text: String): Response = {
    val params = Map(
      "oauth_consumer_key" -> "consumerKey",
      "oauth_nonce" -> OAuthHelper.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> OAuthHelper.generateTimestamp,
      "oauth_token" -> "accessToken",
      "oauth_version" -> "1.0"
    )
    val baseString = "POST&" + OAuthHelper.urlEncode("https://api.twitter.com/2/tweets") + "&" +
      OAuthHelper.urlEncode(params.toSeq.sorted.map { case (k, v) => s"$k=$v" }.mkString("&"))
    val signature = OAuthHelper.hmacSha1(baseString, "consumerSecret&tokenSecret")
    val authHeader = createAuthorizationHeader(params, signature)
    basicRequest
      .header(authHeader)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"https://api.twitter.com/2/tweets")
      .send(backend)
  }
}

Câu hỏi thường gặp về xác thực API OAuth 1.0 và Twitter

1. OAuth 1.0 khác với OAuth 2.0 như thế nào?
2. OAuth 1.0 sử dụng chữ ký và mã hóa HMAC-SHA1 để bảo mật, trong khi OAuth 2.0 sử dụng ủy quyền dựa trên mã thông báo, giúp đơn giản hóa quy trình nhưng yêu cầu kết nối HTTPS an toàn.
3. Mục đích của nonce trong OAuth 1.0 là gì?
4. Để ngăn chặn các cuộc tấn công lặp lại, mỗi yêu cầu tạo ra một chuỗi duy nhất được gọi là nonce. Nó đảm bảo rằng mỗi yêu cầu chỉ được thực hiện một lần. Scala cho phép bạn tạo nonce bằng cách sử dụng Random.alphanumeric.take().
5. Tại sao mã hóa URL lại cần thiết trong yêu cầu OAuth?
6. Mã hóa URL rất quan trọng vì một số ký tự nhất định, như ký hiệu và (&) hoặc dấu cách, phải được mã hóa để tránh hiểu sai. Sử dụng URLEncoder.encode() để mã hóa các ký tự này một cách an toàn.
7. Làm cách nào để tạo chữ ký OAuth?
8. Để thiết lập chữ ký OAuth, trước tiên hãy tạo chuỗi cơ sở từ dữ liệu yêu cầu, sau đó ký chuỗi đó bằng kỹ thuật HMAC-SHA1. Sử dụng Mac.getInstance("HmacSHA1") để bắt đầu quá trình băm.
9. Điều gì có thể gây ra lỗi trái phép 401 trong OAuth?
10. Lỗi 401 có thể do nhiều lỗi khác nhau gây ra, bao gồm chữ ký không hợp lệ, khóa người dùng không khớp hoặc mã hóa tham số không phù hợp. Luôn đảm bảo rằng chữ ký khớp với dữ liệu yêu cầu và mã hóa chính xác.

Suy nghĩ cuối cùng về việc giải quyết các vấn đề về OAuth của Twitter

Để ủy quyền chính xác yêu cầu OAuth 1.0 cho API của Twitter, nhà phát triển phải quản lý cẩn thận chữ ký và tiêu đề. Nhiều vấn đề xảy ra do vấn đề về mã hóa hoặc sử dụng định dạng chuỗi cơ sở không chính xác. Các lỗi như "401 trái phép" có thể được ngăn chặn bằng cách giải quyết các vấn đề này một cách thích hợp.

Hơn nữa, việc kiểm tra lại việc tạo nonce, độ chính xác của dấu thời gian và định dạng tiêu đề sẽ làm tăng đáng kể thành công của việc ủy ​​quyền. Tối ưu hóa phương pháp sha1sign, đảm bảo tính toán chữ ký chính xác và tuân thủ các yêu cầu OAuth là những giai đoạn quan trọng để phát triển ứng dụng xuất bản X tự động và có chức năng.