如何为带Oauth 1.0的Ajax请求配置请求头？我的授权头配置哪里出错了？

OAuth 1.0 请求配置问题排查&修正方案 #

现有代码的核心错误点 #

• 授权头结构完全错误：OAuth 1.0 规范要求所有授权参数都拼接在Authorization单个请求头中，不需要将oauth_*参数拆分为独立请求头。正确的头格式为：

  Authorization: OAuth realm="你的账户ID",oauth_consumer_key="xxx",oauth_token="xxx",oauth_signature_method="HMAC-SHA256",oauth_signature="xxx",oauth_timestamp="xxx",oauth_nonce="xxx",oauth_version="1.0"
  

  所有参数用逗号分隔，参数值需要用双引号包裹。
• 参数赋值错误：代码中oauth_token的值填成了tokenSecret，属于严重错误。oauth_token是访问令牌，tokenSecret是用于生成签名的密钥，绝对不能作为请求参数传递，会直接泄露敏感权限。
• 前端实现逻辑错误：NetSuite SuiteTalk API 不支持浏览器端跨域AJAX请求，会触发CORS拦截。更重要的是OAuth1.0需要用到消费者密钥、令牌密钥等敏感信息，放在前端代码中会直接公开，任何人都可以获取密钥操作你的NetSuite数据，OAuth1.0的请求逻辑必须放在后端服务实现。
• 潜在的签名生成错误：如果签名生成逻辑不符合规范也会导致授权失败，签名需要将请求方法、URL编码后的请求地址、所有参数按字典序拼接后，用消费者密钥&令牌密钥作为密钥，按指定的签名算法（通常为HMAC-SHA256）生成。时间戳要求是秒级Unix时间戳，nonce是单次请求唯一的随机字符串，有效期通常为5分钟。

正确实现方案 #

所有和NetSuite的交互逻辑移到后端实现，前端仅调用自己的后端接口，示例Node.js后端实现逻辑如下：

// 引入oauth-1.0a和加密库，可根据自己的后端语言选择对应工具库
const Oauth1a = require('oauth-1.0a');
const crypto = require('crypto');
const axios = require('axios');

// 配置OAuth参数
const oauthConfig = {
  consumerKey: "你的消费者密钥",
  consumerSecret: "你的消费者私钥",
  accessToken: "你的访问令牌",
  tokenSecret: "你的令牌私钥",
  accountID: "你的NetSuite账户ID",
  apiUrl: "https://myaccountID.suitetalk.api.netsuite.com/services/rest/record/v1/customer"
}

// 初始化OAuth1.0工具
const oauth = Oauth1a({
  consumer: { key: oauthConfig.consumerKey, secret: oauthConfig.consumerSecret },
  signature_method: 'HMAC-SHA256',
  hash_function(base_string, key) {
    return crypto.createHmac('sha256', key).update(base_string).digest('base64');
  }
});

const requestParams = {
  url: oauthConfig.apiUrl,
  method: 'GET'
};

// 生成授权头
const authHeader = oauth.toHeader(oauth.authorize(requestParams, {
  key: oauthConfig.accessToken,
  secret: oauthConfig.tokenSecret
}));
// 追加realm参数
authHeader.Authorization += `,realm="${oauthConfig.accountID}"`;

// 后端发起请求
axios.get(requestParams.url, { headers: authHeader })
  .then(res => {
    // 把结果返回给前端
    console.log(res.data);
  })
  .catch(err => {
    console.error(err.response.data);
  })

内容的提问来源于stack exchange，提问作者Binsoy