PHP实现NetSuite OAuth授权时持续出现无效登录问题求助

我尝试用PHP实现NetSuite APIs的OAuth授权，但一直收到「无效登录尝试」错误。所有凭证在Postman中都能正常运行，反复检查代码仍找不到问题。

代码实现 #

public function call_api($end_point, $method, $data = false) {
    $timestamp = time();
    $nonce = uniqid(mt_rand(1, 1000));

    $curl = curl_init();

    $url = "https://5735036-sb1.suitetalk.api.netsuite.com/services/rest/record/v1/customer";

    switch ($method) {
        case 'POST':
            curl_setopt($curl, CURLOPT_POST, 1);

            if ($data) {
                curl_setopt($curl, CURLOPT_POSTFIELDS, json_encode($data));
                curl_setopt($curl, CURLOPT_HTTPHEADER, array('Content-Type: application/json'));
            }

            break;
        default:
            if ($data) {
                $url = sprintf('%s?%s', $url, http_build_query($data));
            }
    }

    $parameters = array(
        'limit' => '100',
        'oauth_consumer_key' => $this->consumer_key,
        'oauth_nonce' => $nonce,
        'oauth_signature_method' => 'HMAC-SHA256',
        'oauth_timestamp' => $timestamp,
        'oauth_token' => $this->access_token_id,
        'oauth_version' => '1.0',
        'offset' => '100',
        'sort' => 'start:asc'
    );

    $signature_base_string = $method . "&" . rawurlencode($url) . "&" . rawurlencode(http_build_query($parameters, '', '&'));

    $signature_key = rawurlencode($this->consumer_secret) . '&' . rawurlencode($this->access_token_secret);
    $oauthSig = rawurlencode(base64_encode(hash_hmac("sha256", $signature_base_string, $signature_key, true)));

    $headers = array(
        'Authorization: OAuth ' .
            'realm="5735036_SB1", ' .
            'oauth_consumer_key="' . rawurlencode($this->consumer_key) . '", ' .
            'oauth_token="' . rawurlencode($this->access_token_id) . '", ' .
            'oauth_signature_method="HMAC-SHA256", ' .
            'oauth_timestamp="' . rawurlencode($timestamp) . '", ' .
            'oauth_nonce="' . rawurlencode($nonce) . '", ' .
            'oauth_version="1.0", ' .
            'oauth_signature="' . rawurlencode($oauthSig) . '"'
    );

    curl_setopt($curl, CURLOPT_HTTPHEADER, $headers);
    curl_setopt($curl, CURLOPT_HEADER, true);
    curl_setopt($curl, CURLOPT_URL, $url);
    curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1);

    $result = curl_exec($curl);

    $header_size = curl_getinfo($curl, CURLINFO_HEADER_SIZE);
    $body = substr($result, $header_size);

    curl_close($curl);

    $body = json_decode($body);

    return $body;
}

报错信息 #

object(stdClass)#12 (4) {
  ["type"]=>
  string(58) "https://www.rfc-editor.org/rfc/rfc9110.html#section-15.5.2"
  ["title"]=>
  string(12) "Unauthorized"
  ["status"]=>
  int(401)
  ["o:errorDetails"]=>
  array(1) {
    [0]=>
    object(stdClass)#13 (2) {
      ["detail"]=>
      string(152) "Invalid login attempt. For more details, see the Login Audit Trail in the NetSuite UI at Setup > Users/Roles > User Management > View Login Audit Trail."
      ["o:errorCode"]=>
      string(13) "INVALID_LOGIN"
    }
  }
}

排查思路 #

1. 签名重复编码问题（最可能的原因） #

代码中对OAuth签名做了两次URL编码：

• 第一次：$oauthSig = rawurlencode(base64_encode(...))
• 第二次：在Authorization头里又执行rawurlencode($oauthSig)

双重编码会导致签名与Postman生成的结果不一致，修正方法：只对base64编码后的结果做一次URL编码，去掉头里的重复编码：

$oauthSig = rawurlencode(base64_encode(hash_hmac("sha256", $signature_base_string, $signature_key, true)));
// 头里直接使用$oauthSig，不再重复编码
'oauth_signature="' . $oauthSig . '"'

2. HTTP头被覆盖问题 #

POST分支中先设置了Content-Type: application/json头，但后续通过curl_setopt($curl, CURLOPT_HTTPHEADER, $headers)覆盖了该设置，导致POST请求丢失Content-Type头，NetSuite无法解析请求体。修正方法：将Content-Type合并到最终headers数组：

// POST分支修改
if ($data) {
    curl_setopt($curl, CURLOPT_POSTFIELDS, json_encode($data));
    // 初始化headers数组
    $headers = array('Content-Type: application/json');
} else {
    $headers = array();
}
// 添加Authorization头到数组
$headers[] = 'Authorization: OAuth ' . ...;
// 统一设置HTTP头
curl_setopt($curl, CURLOPT_HTTPHEADER, $headers);

3. 时间戳时区问题 #

time()返回服务器本地时区的时间戳，若服务器时区非UTC，可能导致与NetSuite服务器时间偏差超过5分钟（OAuth时间窗口限制）。改用UTC时间戳：

$timestamp = gmdate('U'); // 替代time()，确保为UTC时间

4. 签名基串与请求参数不一致问题 #

• 若在default分支给$url拼接了$data的查询参数，同时$parameters数组又包含limit、offset等参数，会导致签名基串参数与实际请求参数重复或不一致。
• 确保签名基串包含的参数与实际请求参数完全一致，且按字典序排序（http_build_query默认会按键名排序，可保留）。

5. Realm值验证 #

确认Authorization头中的realm值与NetSuite账户ID完全一致，注意大小写和下划线，需与Postman中使用的完全相同。

内容的提问来源于stack exchange，提问作者eazypath