获取OAuth令牌时出现oauth_signature不匹配错误，求签名生成方法

兄弟，我太懂这种踩坑的感觉了——OAuth 1.0的签名生成规则特别严格，手动拼链接几乎一定会出错。你遇到的oauth_signature does not match expected value错误，本质就是签名生成过程不符合Tumblr的验证规范，下面我给你一步步拆解怎么正确生成：

为什么直接在地址栏输链接会失败？ #

OAuth 1.0的签名不是随便填的，它需要用你的消费者密钥（oauth_consumer_secret）（你没在链接里填这个，这是关键！）结合请求参数，通过HMAC-SHA1算法加密生成，而且整个过程有严格的编码、排序要求，手动拼接很容易遗漏细节。

正确生成OAuth签名的3个核心步骤 #

1. 构造「基础字符串（Base String）」 #

这是签名的核心输入，由三部分组成，用&连接，每部分都要做URL编码（遵循RFC 3986规范，比如:转%3A，/转%2F）：

• 第一部分：HTTP请求方法，这里是GET（必须大写）

• 第二部分：编码后的请求URL（去掉所有查询参数，只保留基础地址），比如你的地址编码后是https%3A%2F%2Fwww.tumblr.com%2Foauth%2Frequest_token

• 第三部分：编码后的参数串，规则是：

  • 排除oauth_signature参数
  • 剩下的参数按**字典序（字母顺序）**排序
  • 每个键和值分别做URL编码，然后用=连接
  • 所有键值对用&连接
    比如你的参数排序编码后是：oauth_callback=http%3A%2F%2Fiosappsstore.com&oauth_consumer_key=SpFweFQePdB1I6GnbX2TKCrnD8sObObExERLtw1RBcaEZPFV26&oauth_nonce=4CDF1789&oauth_signature_method=HMAC-SHA1&oauth_timestamp=1514965684&oauth_version=1.0

  最后把三部分拼起来就是基础字符串：

  GET&https%3A%2F%2Fwww.tumblr.com%2Foauth%2Frequest_token&oauth_callback%3Dhttp%253A%252F%252Fiosappsstore.com%26oauth_consumer_key%3DSpFweFQePdB1I6GnbX2TKCrnD8sObObExERLtw1RBcaEZPFV26%26oauth_nonce%3D4CDF1789%26oauth_signature_method%3DHMAC-SHA1%26oauth_timestamp%3D1514965684%26oauth_version%3D1.0
  

  （注意第三部分本身也要做URL编码，所以里面的=会变成%3D，&变成%26）

2. 构造「签名密钥（Signing Key）」 #

格式是：编码后的oauth_consumer_secret&编码后的oauth_token_secret

• 请求Token阶段，oauth_token_secret是空的，所以结尾必须保留&
• 比如你的consumer secret是xxx，编码后还是xxx（如果没有特殊字符），那密钥就是xxx&

3. 生成HMAC-SHA1签名并转Base64 #

用上面的签名密钥对基础字符串做HMAC-SHA1哈希运算，得到二进制结果后，再转成Base64编码，这就是你需要的oauth_signature值。

避坑关键提示 #

• 别手动编码！ 手动处理URL编码很容易出错，比如把%20写成+，或者漏编码特殊字符
• 参数必须排序！ 字典序排序是硬性要求，顺序错了签名肯定不匹配
• Nonce和Timestamp要有效：Nonce是随机字符串，每次请求必须唯一；Timestamp是Unix时间戳，不能和当前时间差太多（否则会被判定为攻击）
• 用成熟库代替手动拼接：几乎所有语言都有OAuth 1.0的库，比如Python的requests-oauthlib、JavaScript的oauth-1.0a，它们会自动处理所有细节，举个Python的例子：

import requests
from requests_oauthlib import OAuth1Session

# 替换成你的消费者密钥和密钥
CONSUMER_KEY = "SpFweFQePdB1I6GnbX2TKCrnD8sObObExERLtw1RBcaEZPFV26"
CONSUMER_SECRET = "你的consumer_secret在这里"

# 创建OAuth会话
oauth_session = OAuth1Session(CONSUMER_KEY, client_secret=CONSUMER_SECRET, callback_uri="http://iosappsstore.com")

# 获取请求Token
response = oauth_session.fetch_request_token("https://www.tumblr.com/oauth/request_token")

# 打印结果
print("oauth_token:", response["oauth_token"])
print("oauth_token_secret:", response["oauth_token_secret"])

用这个代码跑一遍，就能拿到正确的token和secret，根本不用手动拼链接！

内容的提问来源于stack exchange，提问作者Zafar Ahmad