Google OAuthGetRequestToken возвращает signal_invalid

Гуглер здесь. Давно не задавал вопросов по OAuth 1, потому что все переходят на OAuth 2 (и вы тоже должны), но я попытаюсь пройтись по обычным подозреваемым ошибкам недействительной подписи:

• Часы вашего сервера могут быть неправильными. Там есть компонент временной метки, и он должен очень точно соответствовать нашему. Попробуйте обновить свои часы по одному из основных серверов эталонного времени. Это случается, но это необычная проблема.
• В зависимости от того, насколько низкоуровневым является используемый вами клиент OAuth, возможно, вы забыли предоставить часть ключа, используемого для создания подписи. Ключ состоит из двух частей, разделенных двоеточием, IIRC. В некоторых частях протокола нужна только одна половина, а для других частей протокола нужны обе. Я видел случаи, когда кто-то продолжал поставлять только первую половину, когда были нужны обе. На самом деле, я думаю, что сам пару раз совершал эту ошибку.
• Вероятно, в вашем случае это не проблема, потому что вы даже не прошли токен запроса, но OAuth 1 требует, чтобы вы подписали параметры запроса URI. Несоблюдение этого требования приведет к несовпадению базовых строк подписи, что сделает подпись недействительной.
• Безусловно, наиболее распространенной проблемой является неправильное кодирование. Обычно это выражается в сигнатурах, которые иногда работают, но иногда не работают, потому что иногда вам везет, и ничего не нужно кодировать. Я подозреваю, что это то, с чем столкнулся @Meysam, основываясь на его комментарии о том, что он нажал кнопку еще несколько раз, и вдруг это сработало.

Кстати, если вам нужно использовать OAuth 1, вы должны использовать HMAC-SHA1, если у вас нет действительно веской причины для использования RSA-SHA1.

Я предполагаю, что вы не зарегистрировали домен своего приложения в Google. Следовательно, любой consumer secret, который вы используете для подписи своего запроса (в методе HMAC-SHA1), будет отклонен, если вы не укажете anonymous в качестве oauth_consumer_key и consumer secret. Таким образом, Google распознает вас как незарегистрированное приложение и успешно вернет вам Request Token.

Если вы используете метод HMAC-SHA1, Consumer Secret и Token Secret будут использоваться для подписи ваших запросов. Эти два секретных параметра известны как вашему приложению, так и Google, и действуют как секретный ключ в алгоритме симметричного шифрования.

Однако, чтобы использовать метод RSA-SHA1, вы уже должны были загрузить свой Public Key на сервер (сервер Google) в процессе регистрации вашего приложения. После этого вы будете использовать свой Private Key для подписи ваших запросов OAuth. В вашем случае, поскольку вы не зарегистрировали свое приложение, Google не знает о вашем Public Key, и поэтому использовать метод RSA-SHA1 для подписи ваших запросов неизвестным Private Key бесполезно.

Первый метод обычно предпочтительнее метода RSA-SHA1 из соображений производительности. (симметричное шифрование быстрее, чем асимметричное)

Таким образом, я смог успешно получить Request Token на площадке OAuth:

1. Установите для oauth_consumer_key значение anonymous (если только вы не зарегистрировали свое приложение и не имеете настоящего Consumer Key)
2. Установите для «секрета потребителя» значение anonymous (если вы не зарегистрировали свое приложение и не имеете реального Consumer Secret)
3. Выберите https://www.google.com/analytics/feeds/ в качестве объема запроса. .
4. Нажмите кнопку «Запросить токен»

Результат:

GET /accounts/OAuthGetRequestToken?scope=https%3A%2F%2Fwww.google.com%2Fanalytics%2Ffeeds%2F HTTP/1.1
Host: www.google.com
Accept: */*
Authorization: OAuth oauth_version="1.0", oauth_nonce="116d4df85e784f51cf40f0bc3a967883", oauth_timestamp="1322083727", oauth_consumer_key="anonymous", oauth_callback="http%3A%2F%2Fwww.googlecodesamples.com%2Foauth_playground%2Findex.php", oauth_signature_method="HMAC-SHA1", oauth_signature="vVxpbtHlTR%2BJ1yT%2BYS1HOvRzhOs%3D"

HTTP/1.1 200 OK
Content-Type: text/plain; charset=UTF-8
Date: Wed, 23 Nov 2011 21:28:47 GMT
Expires: Wed, 23 Nov 2011 21:28:47 GMT
Cache-Control: private, max-age=0
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Content-Length: 118
Server: GSE

oauth_token=4%2F7E_YtZFHuKFPbuAGuCzyj2AsHcha&oauth_token_secret=NHZBJCj2BPxR2HQZhCTwdq2A&oauth_callback_confirmed=true

Теперь, когда вы приобрели oauth_token и oauth_token_secret, вы можете нажать кнопку авторизации. Это перенаправит вас на страницу входа в Google (если вы не вошли в систему), а затем на страницу, на которую вы предоставляете доступ приложению. Предоставив доступ, вы вернетесь к callback url на игровой площадке с verifier code. Нажав кнопку «Токен доступа», вы получите access token:

GET /accounts/OAuthGetAccessToken HTTP/1.1
Host: www.google.com
Accept: */*
Authorization: OAuth oauth_version="1.0", oauth_nonce="c222a88cc9f027430b239f4cc6f3f154", oauth_timestamp="1322084080", oauth_consumer_key="anonymous", oauth_verifier="TA6vWcDJC51A9YwMNfmUzmUQ", oauth_token="4%2F7E_YtZFHuKFPbuAGuCzyj2AsHcha", oauth_signature_method="HMAC-SHA1", oauth_signature="q9M%2BjeHNxB2ONPd1DPMn6GriUC8%3D"

HTTP/1.1 200 OK
Content-Type: text/plain; charset=UTF-8
Date: Wed, 23 Nov 2011 21:34:40 GMT
Expires: Wed, 23 Nov 2011 21:34:40 GMT
Cache-Control: private, max-age=0
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Content-Length: 103
Server: GSE

oauth_token=1%2Fxy49iwSQEcqSDbo3cKO-UuPLqvt9qKFit9vaLqR6P-M&oauth_token_secret=IJWB1CVSQfYJJPrf9jXv6SS8

*Примечание. Однажды я тоже получил ответ signature_invalid, хотя ввел анонимные учетные данные. Но, попробовав еще раз и нажав кнопку «Запросить токен» еще один или два раза, я сделал это. Я думаю, это должно быть связано с тем, как работают параметры nonce и timestamp для подписи запроса. Это может быть причиной проблемы. Прочтите эту статью для получения дополнительной информации.

Дополнительная литература:

• Управление ключом и секретом OAuth
• Регистрация веб-приложений