使用PL/SQL的UTL_HTTP调用Twitter REST API报ORA-29268/400错误

我帮你梳理了几个极易忽略的细节，这些正是导致请求失败的关键，毕竟第一次做OAuth签名很容易踩这些坑：

1. OAuth Header里的引号用错了 #

你构建l_oauth_header时用了HTML实体"作为引号，但Twitter的OAuth认证期望的是普通双引号"，UTL_HTTP会自动处理请求头里的双引号，不需要转成HTML实体。

错误写法：

l_oauth_header := 'OAuth ' || 'oauth_consumer_key="' || l_oauth_consumer_key || '",' || ...

修正后：

l_oauth_header := 'OAuth ' || 'oauth_consumer_key="' || l_oauth_consumer_key || '",' || 'oauth_token="' || l_oauth_token || '",' || 'oauth_signature_method="' || l_oauth_signature_method || '",' || 'oauth_timestamp="' || l_oauth_timestamp || '",' || 'oauth_nonce="' || l_oauth_nonce || '",' || 'oauth_version="' || l_oauth_version || '",' || 'oauth_signature="' || utl_url.escape(l_base64_sig_mac) || '"';

2. OAuth签名基串（Base String）构建不符合规范 #

OAuth 1.0对签名基串有严格要求，你目前的写法存在两个核心问题：

• 参数未按字母排序：所有参与签名的参数（包括URL里的status和OAuth参数）必须按参数名的字母顺序排列，比如oauth_consumer_key要排在status前面（字母o在s之前）
• 错误使用&作为分隔符：参数之间要用普通的&分隔，而非HTML实体&
• 未正确转义参数串：要把排序后的所有参数拼接成key1=value1&key2=value2的格式，再整体做URL转义，最后拼接到基串里

修正后的基串构建逻辑：

-- 先整理并排序所有参数
l_oauth_base_string := l_http_method || ' ' || utl_url.escape(l_oauth_request_token_url) || ' ' || utl_url.escape(
  'oauth_consumer_key=' || l_oauth_consumer_key || '&' ||
  'oauth_nonce=' || l_oauth_nonce || '&' ||
  'oauth_signature_method=' || l_oauth_signature_method || '&' ||
  'oauth_timestamp=' || l_oauth_timestamp || '&' ||
  'oauth_token=' || l_oauth_token || '&' ||
  'oauth_version=' || l_oauth_version || '&' ||
  'status=' || l_content
);

3. 多余的请求体写入操作 #

你代码最后调用了utl_http.write_text(r => http_req, data => l_content);，但Postman里的请求是Content-Length: 0（无请求体）。Twitter的statuses/update.json接口当status放在URL参数中时，POST请求不需要发送请求体，这一步会导致请求格式和Postman不一致，直接触发400错误，必须删除这行代码。

4. Timestamp的时区问题 #

Twitter要求OAuth的timestamp是UTC时间戳，但你用sysdate计算的是数据库本地时间的时间戳，会导致签名无效。改成用UTC时间计算：

SELECT utl_url.escape(TRUNC((SYSTIMESTAMP - TO_TIMESTAMP('1970-01-01 00:00:00', 'YYYY-MM-DD HH24:MI:SS')) * 86400)) 
INTO l_oauth_timestamp 
FROM dual;

5. OAuth Nonce的冗余处理 #

你对随机字符串做了base64编码再转义，其实直接用随机字符串作为nonce即可，简化后更不容易出错：

SELECT utl_url.escape(dbms_random.string('A', 25)) INTO l_oauth_nonce FROM dual;

修正完这些点后，建议你把PL/SQL生成的签名和Postman里的签名做对比，确保完全一致，这样就能和Postman的请求完全对齐了。

内容的提问来源于stack exchange，提问作者Scott Hillier