从外部Suitelet调用Restlet的OAuth认证错误排查

你的问题核心出在签名生成的多个环节不符合OAuth 1.0规范，结合Postman能正常请求的情况，以下是具体问题点和修正方案：

关键问题分析 #

1. 签名密钥错误：你错误地将clientSecret&tokenSecret存入NetSuite的SecretKey字段，再通过guid调用。但OAuth 1.0的HMAC密钥就是明文的clientSecret&tokenSecret（注意如果tokenSecret为空也要保留&），不需要存入SecretKey字段，直接用crypto.createSecretKey传入原始字符串即可。
2. 参数未按字典序排序：OAuth 1.0要求签名基串中的所有参数（包括URL参数和OAuth参数）必须按字典序排序，你的代码里参数顺序混乱，导致签名不匹配。
3. URL编码不规范：自定义的escapeURL可能未严格遵循OAuth 1.0的编码规则（需编码所有非A-Za-z0-9的字符，用%XX格式，空格替换为%20）。
4. 签名生成步骤冗余：先转HEX再转Base64的步骤多余，直接生成Base64格式的签名即可。

修正后的完整代码 #

1. 正确的OAuth 1.0调用代码 #

const onRequest = (context) => {
    require(['N/crypto', 'N/encode', 'N/https', 'N/url'], (crypto, encode, https, url) => {
        const tokenId = "ABC123",
            tokenSecret = "DEF456",
            clientKey = "GHI789",
            clientSecret = "JKL012",
            realm = "TSTDRV123456";
        
        // 解析Restlet URL和参数
        let restReqUrl = url.resolveScript({
                scriptId: "customscript_restlet_1",
                deploymentId: "customdeploy_restlet_1",
                returnExternalUrl: true
            }),
            urlParts = restReqUrl.split('?'),
            restReqBaseUrl = urlParts[0],
            restReqParams = {};
        
        if (urlParts.length > 1) {
            urlParts[1].split('&').forEach(pair => {
                const [key, val] = pair.split('=');
                restReqParams[key] = decodeURIComponent(val);
            });
        }
        
        // 生成OAuth必需参数
        const nonce = crypto.generateRandomString({
                length: 11,
                charset: crypto.Charset.ALPHANUMERIC
            }),
            timeStamp = Math.floor(Date.now() / 1000);
        
        // 收集所有需要签名的参数（URL参数 + OAuth参数）
        let allParams = {
            ...restReqParams,
            oauth_consumer_key: clientKey,
            oauth_nonce: nonce,
            oauth_signature_method: "HMAC-SHA256",
            oauth_timestamp: timeStamp,
            oauth_token: tokenId,
            oauth_version: "1.0"
        };
        
        // 按字典序排序参数，并编码为OAuth格式
        const sortedParams = Object.keys(allParams)
            .sort()
            .map(key => `${encodeURIComponent(key)}=${encodeURIComponent(allParams[key])}`)
            .join('&');
        
        // 构建签名基串
        const signatureBaseString = [
            "GET",
            encodeURIComponent(restReqBaseUrl),
            encodeURIComponent(sortedParams)
        ].join('&');
        
        // 生成HMAC密钥（clientSecret&tokenSecret）
        const hmacKey = `${clientSecret}&${tokenSecret}`;
        const secretKey = crypto.createSecretKey({
            secret: hmacKey,
            encoding: encode.Encoding.UTF_8
        });
        
        // 计算HMAC-SHA256签名
        const hmac = crypto.createHmac({
            algorithm: crypto.HashAlg.SHA256,
            key: secretKey
        });
        
        hmac.update({
            input: signatureBaseString,
            inputEncoding: encode.Encoding.UTF_8
        });
        
        const signature = hmac.digest({
            outputEncoding: encode.Encoding.BASE_64
        });
        
        // 构建Authorization头
        const authHeaderParts = [
            `realm="${realm}"`,
            `oauth_consumer_key="${clientKey}"`,
            `oauth_token="${tokenId}"`,
            `oauth_signature_method="HMAC-SHA256"`,
            `oauth_timestamp="${timeStamp}"`,
            `oauth_nonce="${nonce}"`,
            `oauth_version="1.0"`,
            `oauth_signature="${encodeURIComponent(signature)}"`
        ].join(', ');
        
        const authHeader = `OAuth ${authHeaderParts}`;
        
        // 发起请求
        try {
            const restReq = https.get({
                url: restReqUrl,
                headers: {
                    Authorization: authHeader
                }
            });
            
            context.response.write({ output: restReq.body });
        } catch (e) {
            context.response.write({ output: `Error: ${e.message}` });
        }
    });
};

2. 移除不必要的SecretKey字段代码 #

你之前用来生成密钥GUID的代码完全不需要，直接用明文组合的clientSecret&tokenSecret作为HMAC密钥即可，不需要存入NetSuite的SecretKey字段。

额外注意事项 #

• 权限验证：确保调用Suitelet的角色拥有N/crypto、N/https等模块的权限，且Restlet的部署设置允许该角色访问。
• Nonce唯一性：使用crypto.generateRandomString生成随机字符串比数字更安全，确保每次请求的nonce唯一。
• 编码一致性：所有参数和URL必须使用encodeURIComponent编码，避免自定义编码函数的差异。

内容的提问来源于stack exchange，提问作者Michael McCauley