如何计算YouTube PubSubHubbub数据签名以验证推送来源

我之前也踩过这个坑！YouTube的PubSubHubbub签名验证确实有几个容易忽略的细节，按下面的步骤来应该就能匹配上了：

核心验证步骤 #

• 获取原始请求体字节：这是最关键的一步！绝对不要对收到的XML内容做任何规范化、格式化（比如缩进、换行调整、转码），必须直接使用服务器接收到的原始二进制请求体。很多人就是在这里出错——比如把XML格式化后再计算签名，结果自然和YouTube生成的不匹配。
• 计算HMAC-SHA1摘要：用你订阅时提交的HMAC密钥（注意是密钥的原始字节形式，不要用Base64或其他编码后的版本），对原始请求体字节执行HMAC-SHA1加密计算。
• 转换为小写十六进制字符串：把计算得到的摘要字节转换成小写的十六进制字符串，然后和请求头X-Hub-Signature中sha1=后面的部分做对比（YouTube返回的签名本身就是小写的）。

示例代码（Python） #

import hmac
import hashlib

# 从服务器获取原始请求体字节（不要解析或修改）
raw_request_body = b'<?xml version="1.0" encoding="UTF-8"?><feed xmlns="http://www.w3.org/2005/Atom" ...>'
# 你的HMAC密钥（转为字节，确保和订阅时使用的编码一致，通常是UTF-8）
hmac_secret = b'your_subscription_hmac_key'

# 计算签名
computed_signature = hmac.new(hmac_secret, raw_request_body, hashlib.sha1).hexdigest()

# 从请求头获取YouTube发送的签名
received_signature = request.headers.get('X-Hub-Signature').split('=')[1]

# 验证匹配
if computed_signature == received_signature:
    print("签名验证通过，数据来自YouTube服务器")
else:
    print("签名不匹配，数据不可信")

常见踩坑点 #

• 不要修改请求体：哪怕XML看起来有多余的空格或换行，也不要动，必须用原始字节流。
• 密钥编码正确：如果你的密钥是字符串形式，要确保转成字节时用的编码和订阅时一致（比如UTF-8），不要用其他编码。
• 服务器配置问题：有些Web框架会自动解析请求体（比如把XML转成对象），导致你无法获取原始字节。这时候需要调整框架配置，直接读取原始请求流（比如Node.js中用req.rawBody，Java中用request.getInputStream()）。
• 大小写问题：计算出的十六进制字符串必须是小写，和YouTube返回的签名保持一致，不要转成大写对比。

内容的提问来源于stack exchange，提问作者Amsaveni Rajasekar