Etrade API OAuth 1.0认证流程因无效oauth_signature失败排查

1. 逐字段对比签名核心参数 #

直接把Python（rauth）生成签名时用到的所有参数，和Go/dghubble/oauth1、Postman的参数做逐一对比：

• HTTP方法：必须是全大写格式（如GET），不能出现小写或混合大小写
• 基准URL：仅保留协议+域名+路径（如https://api.etrade.com/v1/accounts/list），要去掉所有查询参数
• OAuth参数集合：包含oauth_consumer_key、oauth_token、oauth_nonce、oauth_timestamp、oauth_signature_method、oauth_version，以及请求中的查询/表单参数
• 参数排序：OAuth1规范要求所有参数按字典序排序，需确认Go/Postman的排序逻辑和rauth完全一致——可以在Python代码中打印rauth生成签名前的参数排序结果做参照

2. 手动生成签名并交叉验证 #

按照OAuth1.0a规范手动构造签名，和各工具生成的结果对比：

1. 构造基字符串：
   • 拼接格式：[HTTP方法]&[编码后的基准URL]&[编码后的排序参数串]
   • 注意：所有参与拼接的部分都要做URL编码，参数串需按字典序排列后用&连接，键值对用=连接
2. 生成签名密钥：格式为[消费者密钥]&[访问令牌密钥]，如果是请求令牌阶段，访问令牌密钥留空
3. 计算签名：用HMAC-SHA1算法对基字符串哈希，再做Base64编码
4. 把手动计算的签名，和Python、Go、Postman生成的签名逐一对比，定位差异点

3. 严格校验请求头格式细节 #

Etrade对Authorization头的格式可能有非标准的严格要求，需逐字符对比Python成功请求的头和其他工具的头：

• 参数分隔符必须是, （逗号加空格），不能有其他符号
• 字符串类型参数（如oauth_nonce）是否需要加双引号？rauth的实现可能自动添加，要确保Go/Postman的格式完全匹配
• 确认OAuth前缀是OAuth （注意后面的空格），不能少空格或多符号
• 检查是否存在多余的自定义头、Cookie等——rauth的requests.Session默认不会自动添加这些，而Go/Postman可能默认携带，需禁用额外头

4. 用Python输出签名生成全流程 #

修改Python的rauth代码，打印签名生成的关键步骤，方便和其他工具对比：

import time
import hmac
import hashlib
import base64
from urllib.parse import urlencode, quote

# 填入你的真实参数
consumer_key = "你的消费者密钥"
consumer_secret = "你的消费者密钥密钥"
access_token = "Python获取的有效访问令牌"
access_token_secret = "对应访问令牌的密钥"
http_method = "GET"
base_url = "https://api.etrade.com/v1/accounts/list"
request_params = {}  # 若有查询参数需添加

# 构造OAuth参数集合
oauth_params = {
    'oauth_consumer_key': consumer_key,
    'oauth_token': access_token,
    'oauth_nonce': str(int(time.time() * 1000)),  # 模拟rauth的nonce生成逻辑
    'oauth_timestamp': str(int(time.time())),
    'oauth_signature_method': 'HMAC-SHA1',
    'oauth_version': '1.0'
}
oauth_params.update(request_params)

# 排序参数
sorted_params = sorted(oauth_params.items())
# 编码参数串
encoded_params = urlencode(sorted_params, quote_via=quote)
# 构造基字符串
base_string = f"{http_method}&{quote(base_url, safe='')}&{quote(encoded_params, safe='')}"
# 生成签名密钥
signing_key = f"{consumer_secret}&{access_token_secret}"
# 计算HMAC-SHA1签名
signature = hmac.new(signing_key.encode(), base_string.encode(), hashlib.sha1).digest()
oauth_signature = base64.b64encode(signature).decode()

# 打印关键信息
print("基字符串:", base_string)
print("签名密钥:", signing_key)
print("生成的签名:", oauth_signature)

用这段代码的输出，和Go/dghubble/oauth1生成的签名、Postman生成的签名做对比，看哪一步出现偏差

5. 测试最小化请求 #

去掉所有额外查询参数、自定义头，仅调用最基础的/v1/accounts/list接口，排除多余参数对签名生成的干扰——确保请求仅包含必要的Authorization头和标准HTTP头

内容的提问来源于stack exchange，提问作者nmurthy