使用Django rest-auth实现Twitter登录时，前端如何获取access_token和token_secret？

嘿，我来帮你理清这个Twitter登录的流程～你遇到的问题其实是因为Twitter采用的是OAuth 1.0a协议，和常见的OAuth2流程不太一样，rest-auth的/rest-auth/twitter/端点需要的access_token和token_secret，是用户完成Twitter授权后才能拿到的密钥，下面我一步步给你讲清楚前端该怎么获取它们：

整体流程梳理 #

Twitter OAuth 1.0a的授权分为三个核心步骤，前端需要配合后端完成：

1. 获取请求令牌（Request Token），引导用户授权 #

首先，你不能直接在前端暴露Twitter应用的consumer_secret（API密钥），所以这一步最好由后端来处理：

• 后端调用Twitter的https://api.twitter.com/oauth/request_token接口，用你的consumer_key和consumer_secret签名请求，拿到oauth_token（临时请求令牌）。
• 后端把这个oauth_token和Twitter的授权URL（https://api.twitter.com/oauth/authorize?oauth_token=XXX）返回给前端。
• 前端跳转到这个授权URL，用户登录Twitter并同意授权你的应用。

2. 处理授权回调，拿到验证码 #

用户授权成功后，Twitter会跳转到你在Twitter开发者后台配置的回调URL，并在URL参数里带上两个值：oauth_token（和之前的临时令牌一致）和oauth_verifier（授权验证码）。

• 前端从回调URL的参数中提取这两个值，发送给后端。

3. 交换获取正式的Access Token和Token Secret #

后端拿到oauth_token和oauth_verifier后，再次调用Twitter的https://api.twitter.com/oauth/access_token接口，用consumer_key、consumer_secret、oauth_token和oauth_verifier签名请求，就能拿到正式的access_token和token_secret。

• 后端可以把这两个值返回给前端，或者直接在后端调用你已经配置好的TwitterLogin视图完成认证，把rest-auth的登录令牌返回给前端。

后端代码示例（补充流程） #

如果你需要自己实现前面的步骤，可以参考下面的代码片段：

获取Request Token的视图 #

from django.http import JsonResponse
from requests_oauthlib import OAuth1
import requests
from urllib.parse import parse_qsl

def twitter_request_token(request):
    # 替换成你在Twitter后台的API Key和Secret
    CONSUMER_KEY = "你的Twitter API Key"
    CONSUMER_SECRET = "你的Twitter API Secret"
    
    oauth = OAuth1(CONSUMER_KEY, CONSUMER_SECRET)
    response = requests.post("https://api.twitter.com/oauth/request_token", auth=oauth)
    params = dict(parse_qsl(response.text))
    
    if "oauth_token" in params:
        return JsonResponse({
            "oauth_token": params["oauth_token"],
            "authorize_url": f"https://api.twitter.com/oauth/authorize?oauth_token={params['oauth_token']}"
        })
    else:
        return JsonResponse({"error": "Failed to get request token"}, status=400)

交换Access Token的视图 #

def twitter_exchange_access_token(request):
    oauth_token = request.GET.get("oauth_token")
    oauth_verifier = request.GET.get("oauth_verifier")
    
    CONSUMER_KEY = "你的Twitter API Key"
    CONSUMER_SECRET = "你的Twitter API Secret"
    
    oauth = OAuth1(CONSUMER_KEY, CONSUMER_SECRET, resource_owner_key=oauth_token)
    response = requests.post(
        "https://api.twitter.com/oauth/access_token",
        auth=oauth,
        data={"oauth_verifier": oauth_verifier}
    )
    params = dict(parse_qsl(response.text))
    
    if "oauth_token" in params:
        # 这里可以直接调用TwitterLogin的逻辑，或者返回给前端
        return JsonResponse({
            "access_token": params["oauth_token"],
            "token_secret": params["oauth_token_secret"]
        })
    else:
        return JsonResponse({"error": "Failed to exchange access token"}, status=400)

关键注意事项 #

• 一定要在Twitter开发者后台正确配置回调URL，否则用户授权后无法正常跳转回来。
• 不要在前端代码中硬编码consumer_secret，所有涉及到consumer_secret的请求都必须由后端处理，避免密钥泄露。
• 拿到access_token和token_secret后，前端就可以向你的/rest-auth/twitter/端点发送POST请求，带上这两个参数，完成登录并获取rest-auth的认证令牌。

内容的提问来源于stack exchange，提问作者savao