使用Postman进行Evernote OAuth认证第一步失败求助

针对你用Postman调用Evernote OAuth接口返回401的问题，以下是几个高频排查点：

• OAuth签名生成的核心细节
  Evernote的OAuth 1.0签名校验非常严格，几个容易踩坑的点：

  • 参数排序：生成签名时，所有OAuth参数必须按字母顺序排序（比如oauth_callback要排在oauth_consumer_key前面），如果签名计算时参数顺序和实际请求的参数顺序不一致，签名会直接无效。
  • 编码规则：参数值必须严格遵循application/x-www-form-urlencoded编码规范，生成签名时要使用编码后的参数值参与计算，而非原始值。
  • 签名密钥：HMAC-SHA1的密钥格式是你的消费者密钥&（注意末尾必须保留&符号，即使还没有请求令牌），遗漏这个符号会导致签名错误。

• 环境与密钥的匹配性
  如果你使用的是Evernote沙箱环境的API密钥，必须请求沙箱端点https://sandbox.evernote.com/oauth，而非生产环境的https://www.evernote.com/oauth。密钥和环境端点不匹配是401的常见原因。

• Nonce与Timestamp的有效性

  • oauth_nonce必须是全局唯一的随机值，不能重复使用在任何之前的请求中。
  • oauth_timestamp必须是当前时间的秒级Unix时间戳，如果和Evernote服务器时间差超过5分钟左右，会被判定为无效请求。可以用在线工具验证你的时间戳是否正确。

• Postman的正确配置方式
  不要手动拼接URL参数，直接在Postman的「Authorization」标签选择「OAuth 1.0」：

  1. 填入你的Consumer Key
  2. 填写Callback URL
  3. 签名方法选择HMAC-SHA1
     Postman会自动帮你生成合规的oauth_nonce、oauth_timestamp和签名，避免手动拼接时的编码或排序错误。

• 回调URL的一致性
  确认你在Evernote开发者后台注册的回调URL，和请求中oauth_callback的内容完全一致，包括协议（http/https）、域名、端口（如果有），哪怕细微的差异都会触发授权失败。

内容的提问来源于stack exchange，提问作者David Rose