含查询参数的GET请求因无效OAuth签名返回401，无法使用RestSharp

我之前也碰到过一模一样的坑！OAuth1的签名逻辑看起来简单，但细节容错率极低——RestSharp帮你封装了所有底层的签名拼接、编码、排序工作，自己实现时很容易在某个环节出错，导致签名不匹配返回401。下面是我踩坑后总结的核心解决要点：

核心问题：查询参数必须纳入签名计算 #

OAuth1的签名基字符串要求包含所有请求参数（包括业务查询参数，比如你这里的recursive=true），很多自行实现的代码只把OAuth专属参数（如oauth_consumer_key、oauth_token）算进去，漏掉了业务参数，直接导致签名无效。

正确的签名实现步骤（以C#为例） #

// 1. 收集所有参数：OAuth必填参数 + 业务查询参数
var parameters = new SortedDictionary<string, string>
{
    // OAuth标准参数
    {"oauth_consumer_key", appKey},
    {"oauth_token", token},
    {"oauth_signature_method", "HMAC-SHA1"},
    {"oauth_timestamp", ((int)(DateTime.UtcNow - new DateTime(1970, 1, 1)).TotalSeconds).ToString()},
    {"oauth_nonce", Guid.NewGuid().ToString("N")},
    {"oauth_version", "1.0"},
    // 你的业务查询参数，必须加进来！
    {"recursive", "true"}
};

// 2. 按规则编码并拼接参数
// 注意：必须用RFC3986编码（Uri.EscapeDataString），不能用HttpUtility.UrlEncode
var encodedParamStr = string.Join("&", parameters.Select(kv => 
    $"{Uri.EscapeDataString(kv.Key)}={Uri.EscapeDataString(kv.Value)}"));

// 3. 构造签名基字符串
var baseUrl = "https://api.thirdparty.com/1/projects/12345/documents"; // 不带查询参数的原始URL
var httpMethod = "GET";
var signatureBase = $"{httpMethod}&{Uri.EscapeDataString(baseUrl)}&{Uri.EscapeDataString(encodedParamStr)}";

// 4. 生成签名密钥：appSecret + & + tokenSecret（tokenSecret为空也要保留&）
var signingKey = $"{Uri.EscapeDataString(appSecret)}&{Uri.EscapeDataString(tokenSecret)}";

// 5. 计算HMAC-SHA1签名
string oauthSignature;
using (var hmac = new HMACSHA1(Encoding.ASCII.GetBytes(signingKey)))
{
    var signatureBytes = hmac.ComputeHash(Encoding.ASCII.GetBytes(signatureBase));
    oauthSignature = Convert.ToBase64String(signatureBytes);
}
parameters.Add("oauth_signature", oauthSignature);

// 6. 构造Authorization请求头
var authHeader = "OAuth " + string.Join(", ", parameters.Select(kv => 
    $"{Uri.EscapeDataString(kv.Key)}=\"{Uri.EscapeDataString(kv.Value)}\""));

// 7. 发起请求：将authHeader加入请求头，查询参数可以正常拼在URL里（和签名时的参数一致即可）

容易踩的额外坑 #

• 编码规则：必须使用RFC3986编码（Uri.EscapeDataString），不能用HttpUtility.UrlEncode——后者会把空格转成+，不符合OAuth1的签名要求。
• URL处理：签名基字符串里的URL必须是不带查询参数的原始路径，查询参数要单独放在参数集合里计算，不能拼进URL。
• Nonce和Timestamp：Nonce必须是每次请求唯一的随机字符串，Timestamp必须是UTC时间戳（不能用本地时间），否则会被API判定为无效请求。
• 参数排序：必须按参数名的ASCII码升序排序，大小写敏感，和API端的排序规则保持一致。

你可以对照RestSharp的OAuth1Authenticator源码（比如ForAccessToken方法的实现）来核对自己的代码，大概率能找到和官方实现的差异点。

内容的提问来源于stack exchange，提问作者Equalsk