Scala 中 X API v2 通过 STTP 的 OAuth 1.0 授权问题

使用 Scala 和 STTP 解决 Twitter API 的 OAuth 1.0 授权问题

此脚本演示如何使用 HMAC-SHA1 在 Scala 中签署 OAuth 1.0 请求。它确保模块化和错误处理，从而产生可重用、可维护的代码。

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import org.joda.time.DateTime
import sttp.client4._
import sttp.model.Header
import scala.util.Random
object Auth {
  def urlEncode(text: String): String =
    URLEncoder.encode(text, java.nio.charset.Charset.defaultCharset())
  def generateNonce: String = Random.alphanumeric.take(15).mkString
  def sha1sign(text: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes, "HmacSHA1")
    mac.init(signingKey)
    val signature = mac.doFinal(text.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(signature)
  }
  def createHeader(authData: Map[String, String]): Header = {
    val signatureBaseString = "POST&" + urlEncode("https://api.twitter.com/2/tweets") + "&" +
      urlEncode(authData.toSeq.sorted.map(x => s"${x._1}=${x._2}").mkString("&"))
    val signature = sha1sign(signatureBaseString, "consumerSecret&tokenSecret")
    val authHeader = "OAuth " + authData.map { case (k, v) => s"""$k="${urlEncode(v)}"""" }.mkString(", ") +
      s""", oauth_signature="${urlEncode(signature)}""""
    Header("Authorization", authHeader)
  }
}
object TwitterApi {
  val postEndpoint = "https://api.twitter.com/2/tweets"
  def createPost(text: String): Response = {
    val authData = Map(
      "oauth_consumer_key" -> "yourConsumerKey",
      "oauth_nonce" -> Auth.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> DateTime.now().getMillis.toString,
      "oauth_token" -> "yourToken",
      "oauth_version" -> "1.0"
    )
    val header = Auth.createHeader(authData)
    basicRequest
      .header(header)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"$postEndpoint")
      .send(backend)
  }
}

替代方法：具有自定义随机数和时间戳处理的 OAuth 1.0

此方法通过专注于生成具有最小依赖性的定制随机数和时间戳来简化签名过程。

import java.net.URLEncoder
import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import sttp.client4._
import sttp.model.Header
object OAuthHelper {
  def generateTimestamp: String = (System.currentTimeMillis / 1000).toString
  def generateNonce: String = java.util.UUID.randomUUID().toString.replace("-", "")
  def urlEncode(value: String): String = URLEncoder.encode(value, "UTF-8")
  def hmacSha1(baseString: String, key: String): String = {
    val mac = Mac.getInstance("HmacSHA1")
    val signingKey = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA1")
    mac.init(signingKey)
    val rawHmac = mac.doFinal(baseString.getBytes("UTF-8"))
    java.util.Base64.getEncoder.encodeToString(rawHmac)
  }
}
object TwitterClient {
  def createAuthorizationHeader(params: Map[String, String], signature: String): Header = {
    val headerParams = params.map { case (k, v) => s"""$k="${OAuthHelper.urlEncode(v)}"""" }.mkString(", ")
    Header("Authorization", s"""OAuth $headerParams, oauth_signature="$signature"""")
  }
  def postTweet(text: String): Response = {
    val params = Map(
      "oauth_consumer_key" -> "consumerKey",
      "oauth_nonce" -> OAuthHelper.generateNonce,
      "oauth_signature_method" -> "HMAC-SHA1",
      "oauth_timestamp" -> OAuthHelper.generateTimestamp,
      "oauth_token" -> "accessToken",
      "oauth_version" -> "1.0"
    )
    val baseString = "POST&" + OAuthHelper.urlEncode("https://api.twitter.com/2/tweets") + "&" +
      OAuthHelper.urlEncode(params.toSeq.sorted.map { case (k, v) => s"$k=$v" }.mkString("&"))
    val signature = OAuthHelper.hmacSha1(baseString, "consumerSecret&tokenSecret")
    val authHeader = createAuthorizationHeader(params, signature)
    basicRequest
      .header(authHeader)
      .contentType("application/json")
      .body(s"""{"text":"$text"}""")
      .post(uri"https://api.twitter.com/2/tweets")
      .send(backend)
  }
}

有关 OAuth 1.0 和 Twitter API 身份验证的常见问题

1. OAuth 1.0 与 OAuth 2.0 有何不同？
2. OAuth 1.0 使用签名和 HMAC-SHA1 加密来确保安全，而 OAuth 2.0 使用基于令牌的授权，这简化了流程，但需要安全的 HTTPS 连接。
3. OAuth 1.0 中随机数的用途是什么？
4. 为了防止重放攻击，每个请求都会生成一个称为随机数的唯一字符串。它确保每个请求只执行一次。 Scala 允许您使用以下方式构建随机数 Random.alphanumeric.take()。
5. 为什么 OAuth 请求中需要 URL 编码？
6. URL 编码至关重要，因为必须对某些字符（如与号 (&) 或空格）进行编码以避免误解。使用 URLEncoder.encode() 安全地编码这些字符。
7. 如何生成 OAuth 签名？
8. 要建立 OAuth 签名，首先根据请求数据创建一个基本字符串，然后使用 HMAC-SHA1 技术对其进行签名。使用 Mac.getInstance("HmacSHA1") 开始哈希过程。
9. 什么会导致 OAuth 中出现 401 Unauthorized 错误？
10. 401 错误可能由多种错误引起，包括无效签名、不匹配的消费者密钥或不适当的参数编码。始终确保签名与请求数据匹配并且编码准确。

关于解决 Twitter OAuth 问题的最终想法

为了正确授权 Twitter API 的 OAuth 1.0 请求，开发人员必须仔细管理签名和标头。许多问题是由编码问题或使用不正确的基本字符串格式引起的。通过适当解决这些问题可以防止诸如“401 Unauthorized”之类的错误。

此外，重新检查随机数创建、时间戳准确性和标头格式可大大提高授权成功率。优化 sha1sign 方法、确保准确的签名计算并遵守 OAuth 要求是开发功能性和自动化 X 发布应用程序的关键阶段。