如何验证Spring Boot API中SignPost签名请求？

嗨，我来帮你搞定Spring Boot里验证SignPost签名的事儿～ 先直接回答你的核心疑问：SignPost生成的签名通常是放在Authorization请求头里的（格式是OAuth oauth_consumer_key="xxx", oauth_signature="xxx", ...），少数情况也可能在请求参数里，但主流是请求头。下面是具体的验证步骤和代码示例：

1. 引入SignPost依赖 #

首先需要在你的项目中加入SignPost的核心库，如果你用Maven，在pom.xml里加：

<dependency>
    <groupId>oauth.signpost</groupId>
    <artifactId>signpost-core</artifactId>
    <version>1.2.1.2</version>
</dependency>

Gradle的话就在build.gradle里加：

implementation 'oauth.signpost:signpost-core:1.2.1.2'

2. 编写签名验证拦截器 #

Spring Boot里最适合的方式是写一个拦截器，在请求到达控制器之前完成签名验证。这里以2-legged OAuth（只用consumer key和secret，没有access token）为例：

import oauth.signpost.OAuthConsumer;
import oauth.signpost.OAuthException;
import oauth.signpost.basic.DefaultOAuthConsumer;
import org.springframework.http.HttpStatus;
import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.util.ContentCachingRequestWrapper;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

@Component
public class OAuthSignatureValidationInterceptor implements HandlerInterceptor {

    // 替换成你持有的客户端key和secret
    private static final String CLIENT_CONSUMER_KEY = "你的客户端Key";
    private static final String CLIENT_CONSUMER_SECRET = "你的客户端Secret";

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 1. 提取OAuth授权头
        String authHeader = request.getHeader("Authorization");
        if (authHeader == null || !authHeader.startsWith("OAuth ")) {
            sendUnauthorizedResponse(response, "缺少有效的OAuth授权头");
            return false;
        }

        // 2. 包装请求（解决POST/PUT请求体只能读取一次的问题）
        ContentCachingRequestWrapper wrappedRequest = new ContentCachingRequestWrapper(request);

        // 3. 初始化SignPost的消费者实例，验证签名
        OAuthConsumer consumer = new DefaultOAuthConsumer(CLIENT_CONSUMER_KEY, CLIENT_CONSUMER_SECRET);
        try {
            // 如果是3-legged OAuth，需要从请求中提取oauth_token并设置：
            // String oauthToken = 从请求头/参数中提取;
            // consumer.setTokenWithSecret(oauthToken, "对应的tokenSecret");
            
            consumer.verify(wrappedRequest); // 核心验证逻辑
            return true; // 验证通过，放行请求
        } catch (OAuthException e) {
            sendUnauthorizedResponse(response, "签名验证失败：" + e.getMessage());
            return false;
        }
    }

    private void sendUnauthorizedResponse(HttpServletResponse response, String message) throws Exception {
        response.setStatus(HttpStatus.UNAUTHORIZED.value());
        response.setContentType("application/json");
        response.getWriter().write("{\"error\": \"" + message + "\"}");
    }
}

3. 注册拦截器到Spring Boot #

把上面的拦截器注册到Spring的Web配置中，指定需要验证的API路径：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

    @Autowired
    private OAuthSignatureValidationInterceptor oAuthInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(oAuthInterceptor)
                .addPathPatterns("/api/**"); // 替换成你需要验证签名的API路径
    }
}

关键注意点 #

• 请求体重复读取问题：对于带请求体的POST/PUT请求，Spring默认会把请求体读取一次，之后无法再读取，所以必须用ContentCachingRequestWrapper包装请求，SignPost才能正确获取请求体来验证签名。
• 3-legged OAuth适配：如果客户端用的是3-legged OAuth（需要access token），你需要从请求的OAuth参数中提取oauth_token和对应的oauth_token_secret，然后调用consumer.setTokenWithSecret(token, tokenSecret)再验证。
• 签名方法兼容性：SignPost支持HMAC-SHA1、RSA-SHA1等主流签名方法，客户端和服务端必须使用相同的方法，SignPost会自动从请求的oauth_signature_method参数识别，无需额外配置。
• 参数位置兼容：如果客户端把OAuth参数放在URL的查询参数里（而不是请求头），SignPost的verify方法也能自动解析，不用修改代码。

内容的提问来源于stack exchange，提问作者Ayane