WordPress REST API、OAuth1与Python Requests调用失败求助

这种OAuth签名不匹配的问题我之前帮好几个开发者排查过，尤其是隔了两个月突然失效的场景，大概率是踩中了几个常见的坑，咱们一步步捋：

1. 先排查服务器时间同步问题 #

OAuth1的签名验证严重依赖准确的oauth_timestamp和oauth_nonce，如果你的Python运行环境和WordPress服务器的时间差超过5分钟（大部分OAuth服务端的默认容忍阈值），就会直接触发签名不匹配。

• 操作步骤：分别在你的Python服务器和WordPress服务器上执行date命令（Linux/macOS）或查看系统时间（Windows），确保两者时区一致，时间误差控制在1分钟以内。
• 如果你是手动生成签名的，注意必须用UTC时间戳，不要用本地时区的时间。

2. 确认OAuth参数的完整性与排序 #

OAuth1对签名计算时的参数有严格要求：

• 必须包含所有必填参数：oauth_consumer_key、oauth_nonce、oauth_signature、oauth_signature_method、oauth_timestamp、oauth_token（授权后的请求）
• 所有参与签名的参数必须按字典序排序（键名的ASCII顺序）
• 排查：如果你的WordPress OAuth插件这段时间更新过，可能对参数的校验逻辑更严格了。可以打印出代码中生成签名前的所有参数，对照OAuth1的规范检查是否漏项或排序错误。

3. 核对签名算法一致性 #

确认你的Python代码使用的签名方法和WordPress OAuth插件的配置完全一致：

• 大部分WordPress OAuth插件默认用HMAC-SHA1，但有些插件支持切换到HMAC-SHA256
• 操作步骤：登录WordPress后台，找到OAuth插件的设置页面，查看签名方法配置；然后检查你的Python代码，比如用requests-oauthlib的话，确认signature_method参数和插件配置匹配（默认是HMAC-SHA1，如果插件改了，代码里也要同步调整）

4. 检查请求URL与HTTP方法的准确性 #

签名计算时会用到请求的完整URL（包括路径，不含OAuth参数）和HTTP方法（POST/GET），任何变化都会导致签名失效：

• 排查点：你的WordPress站点是否切换了HTTP/HTTPS？域名是否变更？请求的REST API端点路径是否写错（比如从/wp-json/wp/v2/posts写成了其他路径）？
• 如果是POST请求，还要确认是否把请求体的参数纳入了签名计算（部分OAuth插件要求POST表单参数参与签名），用requests-oauthlib的话，库会自动处理，但手动签名的话容易遗漏这部分。

5. 验证密钥的正确性 #

隔了两个月突然失效，有可能是密钥被无意修改了：

• 排查：登录WordPress后台，找到对应的OAuth应用，重新复制consumer_secret和access_token_secret，确保代码里的密钥和后台的完全一致（注意不要有多余的空格、换行或大小写错误）
• 确认是否有人重新生成了OAuth应用的密钥，导致旧密钥失效。

6. 排查插件或WordPress核心更新的影响 #

你提到时隔两个月没运行，这段时间WordPress核心或OAuth插件大概率有更新，可能引入了新的验证逻辑：

• 操作步骤：查看OAuth插件的更新日志，看是否有关于签名验证的变更；可以尝试临时降级插件到之前能正常运行的版本，测试是否恢复正常。

快速调试建议：用成熟库代替手动签名 #

如果之前是手动生成签名，强烈建议改用requests-oauthlib库，它会自动处理参数排序、时间戳、签名计算等细节，减少手动出错的概率。示例代码如下：

from requests_oauthlib import OAuth1Session

# 替换为你的实际密钥
consumer_key = "YOUR_CONSUMER_KEY"
consumer_secret = "YOUR_CONSUMER_SECRET"
access_token = "YOUR_ACCESS_TOKEN"
access_token_secret = "YOUR_ACCESS_TOKEN_SECRET"

# WordPress REST API 文章上传端点
url = "https://your-wordpress-site.com/wp-json/wp/v2/posts"
post_data = {
    "title": "测试文章",
    "content": "文章内容",
    "status": "publish"
}

# 初始化OAuth会话
oauth_session = OAuth1Session(
    consumer_key,
    client_secret=consumer_secret,
    resource_owner_key=access_token,
    resource_owner_secret=access_token_secret
)

# 发送POST请求
response = oauth_session.post(url, json=post_data)
print(response.status_code)
print(response.content)

内容的提问来源于stack exchange，提问作者sackoftrout