Apache Camel OAuth 1.0 Processor返回401未授权错误（凭证正确但签名疑似异常）

感谢分享代码！从你的描述和实现来看，Postman能正常请求但自定义Processor返回401，大概率是签名生成逻辑的参数遗漏或者请求头不完整导致的。我梳理了几个核心排查点，你可以逐一验证：

1. POST请求体参数未纳入签名基字符串 #

OAuth 1.0的签名规则明确要求：所有请求参数（包括POST请求中application/x-www-form-urlencoded格式的表单参数）必须加入到签名基字符串的参数集合中。

你的代码里仅将OAuth专属参数（oauth_*）加入了oauthParams，但如果Postman请求中携带了业务表单参数（比如提交的表单数据），而代码里未将这些参数纳入签名计算，就会导致签名与服务端预期不匹配，直接返回401。

解决方法：
如果你的POST请求使用application/x-www-form-urlencoded格式，需要将请求体的表单参数合并到签名参数集合中：

// 从Exchange中获取POST表单参数（需确保Camel已解析请求体为Map）
Map<String, String> formParams = exchange.getIn().getBody(Map.class);
if (formParams != null && !formParams.isEmpty()) {
    oauthParams.putAll(formParams);
}

注意：如果请求体是JSON格式，OAuth 1.0通常不要求将JSON字段纳入签名（除非服务端有特殊约定），但需确保Postman与代码使用的请求体格式完全一致。

2. 缺少必要的请求头（如Content-Type） #

你的代码执行了exchange.getIn().getHeaders().clear()，仅保留了Authorization头。但POST请求必须携带Content-Type头，服务端才能正确解析请求体格式；如果缺失该头，不仅请求体可能无法被识别，还可能导致服务端在签名验证时因参数缺失判定请求无效。

解决方法：
在设置Authorization头后，添加对应格式的Content-Type：

// 若为表单请求
exchange.getIn().setHeader(Exchange.CONTENT_TYPE, "application/x-www-form-urlencoded");
// 若为JSON请求
// exchange.getIn().setHeader(Exchange.CONTENT_TYPE, "application/json");

3. 签名基字符串的URL是否正确 #

OAuth 1.0要求签名基字符串中的URL必须是不带查询参数的基础URL。例如：

• 实际请求URL为https://url-example.com/api/endpoint?foo=bar时，签名基字符串应使用https://url-example.com/api/endpoint作为基础URL
• 查询参数foo=bar需要单独加入到签名参数集合中

请检查代码中url变量是否与Postman使用的基础URL完全一致，没有多余的查询参数。

4. 时间戳与服务器时间差过大 #

你的代码使用System.currentTimeMillis() / 1000生成Unix秒级时间戳，这符合规范，但如果本地机器与服务端的时间差超过服务端允许的阈值（通常为5-15分钟），会被判定为无效请求。

排查方法：
对比Postman生成的时间戳与代码输出的时间戳，确保两者差值在合理范围内；若时间差过大，可同步本地机器时间或联系服务端调整阈值。

5. Realm的处理是否符合服务端要求 #

虽然你的代码将Realm加入Authorization头的方式符合OAuth规范，但部分服务端对Realm的位置或格式有特殊要求。可以尝试调整Realm的拼接方式：

// 直接在Authorization头开头拼接Realm，再添加其他OAuth参数
StringBuilder header = new StringBuilder("OAuth realm=\"" + encode(realm) + "\", ");
// 遍历oauthParams时排除realm参数
for (Map.Entry<String, String> entry : oauthParams.entrySet()) {
    String key = entry.getKey();
    if ("realm".equals(key)) continue;
    // 原有的参数拼接逻辑
    String value = key.equals("oauth_signature") ? entry.getValue() : encode(entry.getValue());
    header.append(encode(key)).append("=\"").append(value).append("\",");
}
header.setLength(header.length() - 1);

调试小技巧 #

1. 对比Postman与代码的Authorization头：打印代码生成的authHeader，与Postman的请求头对比，重点看oauth_nonce、oauth_timestamp是否合理，以及oauth_signature是否差异明显。
2. 在线工具验证签名：使用OAuth 1.0调试工具输入参数，计算签名后与代码生成的签名对比，定位签名计算逻辑的问题。
3. 打印中间结果：在代码中输出baseSignatureString、rawSignature、encodedSignature，逐一核对每个步骤的结果是否符合RFC 5849规范。

另外，代码中硬编码的凭证（consumerKey、accessToken等）建议从配置或integrationInterface中动态获取，避免硬编码带来的安全与维护问题。

内容来源于stack exchange