URL重复编码致NetSuite API返回无效签名问题排查

问题说明 #

用PowerShell调用NetSuite的employees API发起GET请求时，当查询语句包含空格（比如通过自定义实体custentity_coupa_emp_id查询员工），NetSuite始终返回Invalid Signature错误；但使用无空格的标准查询（比如通过NetSuite ID查询）时完全正常，推测问题和URL编码的重复处理有关。

当前代码已在第20行对含空格的$query做URL编码，将编码后的URL用于构建OAuth签名的$base_string，且在第36行对签名做了URL编码，但仍无法解决问题。

相关代码片段 #

正常工作的无空格查询 #

$query =                  "/services/rest/record/v1/employee/$($netsuite_id)" # 通过NetSuite ID查询用户

出现问题的查询及完整签名逻辑 #

$url =                    "https://$($realm.ToLower().Replace("_","-")).suitetalk.api.netsuite.com"
$query =                  "/services/rest/record/v1/employee?q=custentity_coupa_emp_id IS $($employee_id)" # 通过自定义实体Coupa ID查询用户
$oauth_nonce =            [System.Convert]::ToBase64String([System.Text.Encoding]::ASCII.GetBytes([System.DateTime]::Now.Ticks.ToString()))
$oauth_timestamp =        [int64](([datetime]::UtcNow)-(Get-Date "1970-01-01")).TotalSeconds

# 构建签名基串所需参数集合
$oAuthParamsForSigning = @{}
$oAuthParamsForSigning.Add("oauth_consumer_key",$oauth_consumer_key)
$oAuthParamsForSigning.Add("oauth_token",$oauth_token)
$oAuthParamsForSigning.Add("oauth_signature_method",$oauth_signature_method)
$oAuthParamsForSigning.Add("oauth_nonce",$oauth_nonce)
$oAuthParamsForSigning.Add("oauth_timestamp",$oauth_timestamp)
$oAuthParamsForSigning.Add("oauth_version",$oauth_version)
$oAuthParamsString = ($oAuthParamsForSigning.Keys | Sort-Object | % {
    "$_=$($oAuthParamsForSigning[$_])"
}) -join "&"
$encodedOAuthParamsString = [uri]::EscapeDataString($oAuthParamsString)

# 编码完整URL
$encodedUrl = [uri]::EscapeDataString($url+$query)

# 构建签名基串并生成签名
$base_string = $HTTP_method + "&" + $encodedUrl + "&" + $encodedOAuthParamsString
$key = $oauth_consumer_secret + "&" + $oauth_token_secret

$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.Key = [System.Text.Encoding]::ASCII.GetBytes($key)
$oauth_signature = [System.Convert]::ToBase64String($hmacsha256.ComputeHash([System.Text.Encoding]::ASCII.GetBytes($base_string)))

# 构建请求头
$authHeaderString = ($oAuthParamsForSigning.Keys | Sort-Object | % {
    "$_=`"$([uri]::EscapeDataString($oAuthParamsForSigning[$_]))`""
}) -join ","
$authHeaderString += ",realm=`"$([uri]::EscapeDataString($realm))`""
$authHeaderString += ",oauth_signature=`"$([uri]::EscapeDataString($oauth_signature))`""
$authHeaders = @{
    "Content-Type"="application/json"
    ;"Prefer"="transient"
    ;"Authorization"="OAuth $authHeaderString"
    ;"Accept"="*/*"
    ;"Cache-Control"="no-cache"
    ;"Host"="3489459-sb1.suitetalk.api.netsuite.com"
    ;"Accept-Encoding"="gzip, deflate, br"
    ;"Cookie"="NS_ROUTING_VERSION=LAGGING"
}

问题根源 #

OAuth 1.0a对签名基串的构建有严格要求，当前代码的错误在于：
直接对包含查询参数的完整URL做整体编码，而正确的逻辑应该是：

1. 签名基串中的URL部分仅包含协议+主机+路径，不能带查询参数
2. 查询参数需要和OAuth参数合并，一起排序后逐个编码参数值，再拼接成参数字符串

当查询参数含空格等特殊字符时，错误的编码方式会导致签名基串不符合NetSuite的校验规则，最终触发Invalid Signature。

修复步骤及代码示例 #

核心修复逻辑 #

• 拆分路径和查询参数，URL部分仅保留协议+主机+路径
• 将查询参数加入到签名参数集合中，和OAuth参数一起排序编码
• 签名基串使用编码后的URL路径，加上编码后的合并参数字符串
• 发起请求时再将编码后的查询参数拼接到URL后

修复后的关键代码 #

$url = "https://$($realm.ToLower().Replace("_","-")).suitetalk.api.netsuite.com"
$path = "/services/rest/record/v1/employee"
# 原始查询参数（未编码）
$queryParams = @{ 
    "q" = "custentity_coupa_emp_id IS $($employee_id)" 
}

$oauth_nonce = [System.Convert]::ToBase64String([System.Text.Encoding]::ASCII.GetBytes([System.DateTime]::Now.Ticks.ToString()))
$oauth_timestamp = [int64](([datetime]::UtcNow)-(Get-Date "1970-01-01")).TotalSeconds

# 合并OAuth参数和查询参数
$allParamsForSigning = @{}
# 添加OAuth参数
$allParamsForSigning.Add("oauth_consumer_key",$oauth_consumer_key)
$allParamsForSigning.Add("oauth_token",$oauth_token)
$allParamsForSigning.Add("oauth_signature_method",$oauth_signature_method)
$allParamsForSigning.Add("oauth_nonce",$oauth_nonce)
$allParamsForSigning.Add("oauth_timestamp",$oauth_timestamp)
$allParamsForSigning.Add("oauth_version",$oauth_version)
# 添加查询参数
foreach ($key in $queryParams.Keys) {
    $allParamsForSigning.Add($key, $queryParams[$key])
}

# 排序并编码参数
$sortedParams = $allParamsForSigning.Keys | Sort-Object
$paramString = ($sortedParams | % { "$_=$([uri]::EscapeDataString($allParamsForSigning[$_]))" }) -join "&"

# 编码URL的协议+主机+路径部分
$encodedBaseUrl = [uri]::EscapeDataString($url + $path)

# 构建签名基串
$base_string = $HTTP_method + "&" + $encodedBaseUrl + "&" + [uri]::EscapeDataString($paramString)

# 生成签名（后续逻辑不变）
$key = $oauth_consumer_secret + "&" + $oauth_token_secret
$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.Key = [System.Text.Encoding]::ASCII.GetBytes($key)
$oauth_signature = [System.Convert]::ToBase64String($hmacsha256.ComputeHash([System.Text.Encoding]::ASCII.GetBytes($base_string)))

# 构建最终请求URL
$queryString = ($queryParams.Keys | % { "$_=$([uri]::EscapeDataString($queryParams[$_]))" }) -join "&"
$requestUrl = $url + $path + "?" + $queryString

# 构建请求头（调整Host为动态值，避免硬编码）
$authHeaderString = ($oAuthParamsForSigning.Keys | Sort-Object | % {
    "$_=`"$([uri]::EscapeDataString($oAuthParamsForSigning[$_]))`""
}) -join ","
$authHeaderString += ",realm=`"$([uri]::EscapeDataString($realm))`""
$authHeaderString += ",oauth_signature=`"$([uri]::EscapeDataString($oauth_signature))`""
$authHeaders = @{
    "Content-Type"="application/json"
    "Prefer"="transient"
    "Authorization"="OAuth $authHeaderString"
    "Accept"="*/*"
    "Cache-Control"="no-cache"
    "Host"="$($realm.ToLower().Replace("_","-")).suitetalk.api.netsuite.com"
    "Accept-Encoding"="gzip, deflate, br"
    "Cookie"="NS_ROUTING_VERSION=LAGGING"
}

# 发起请求
Invoke-RestMethod -Uri $requestUrl -Headers $authHeaders -Method $HTTP_method

内容的提问来源于stack exchange，提问作者Derek Ritchison