通过Firebase认证后访问Twitter API遇401未授权错误

核心问题是你用错了授权凭证：Firebase返回的Bearer Token仅用于Firebase服务的身份验证，不能直接用于调用Twitter API。Twitter API v2中，获取用户时间线这类需要用户授权的接口，必须使用OAuth 1.0a签名的请求，而非Bearer Token。

解决步骤 #

1. 明确授权方式 #

Twitter API的授权分两类：

• Bearer Token：仅用于访问公开数据（如搜索公开推文），属于应用级授权，无需用户参与。
• OAuth 1.0a：用于访问用户私有数据（如个人时间线），需要结合你的开发者凭证+用户授权后的oauth_token、oauth_secret生成签名头。

2. 准备必要凭证 #

你需要四个关键参数：

• 你的Twitter开发者应用的consumer_key和consumer_secret（在Twitter开发者后台获取）
• Firebase登录后拿到的用户oauth_token和oauth_secret

3. 生成OAuth 1.0a签名并发起请求 #

推荐使用成熟的OAuth库处理签名（如oauth-1.0a），避免手动计算签名出错。

示例代码（Node.js/前端通用）

先安装依赖：

npm install oauth-1.0a crypto-js # 前端用crypto-js，Node.js可替换为原生crypto模块

编写请求代码：

import OAuth from 'oauth-1.0a';
import CryptoJS from 'crypto-js'; // 前端环境用此，Node.js替换为crypto模块

// 开发者应用凭证
const consumer = {
  key: '你的Twitter Consumer Key',
  secret: '你的Twitter Consumer Secret'
};

// Firebase返回的用户授权凭证
const userAuth = {
  key: '用户的oauth_token',
  secret: '用户的oauth_secret'
};

// 初始化OAuth实例
const oauth = OAuth({
  consumer: consumer,
  signature_method: 'HMAC-SHA1',
  hash_function: (baseString, key) => 
    CryptoJS.HmacSHA1(baseString, key).toString(CryptoJS.enc.Base64)
});

// 目标API地址
const userId = '目标用户ID'; // 可先调用/users/me接口获取当前用户ID
const apiUrl = `https://api.twitter.com/2/users/${userId}/tweets`;

// 生成授权头
const requestData = { url: apiUrl, method: 'GET' };
const authHeaders = oauth.toHeader(oauth.authorize(requestData, userAuth));

// 发起请求
try {
  const response = await fetch(apiUrl, {
    method: 'GET',
    headers: {
      ...authHeaders,
      'Content-Type': 'application/json'
    }
  });
  const result = await response.json();
  console.log(result);
} catch (error) {
  console.error('请求失败:', error);
}

额外注意事项 #

• 确保你的Twitter开发者应用已申请对应权限（如read:tweet、read:user），需在开发者后台的「Permissions and Features」中开启。
• 若不知道用户ID，可调用https://api.twitter.com/2/users/me接口（同样用OAuth 1.0a授权）获取当前授权用户的ID。
• 前端环境中不要暴露consumer_secret，建议将签名逻辑放在后端服务中，前端调用自有后端接口再转发请求到Twitter API，避免凭证泄露。

内容的提问来源于stack exchange，提问作者Hyper