PHP cURL OAuth 1.0签名GET请求分页签名生成问题咨询

我之前也踩过OAuth 1.0签名的坑，尤其是带分页参数的GET请求，大概率是签名生成过程中参数处理不规范导致的。下面是几个你必须排查的关键点，按优先级来：

1. 所有参数必须参与排序与签名 #

OAuth 1.0要求签名基础字符串必须包含所有请求参数——包括OAuth自身的参数（如oauth_consumer_key）和业务参数（如分页的page、per_page），并且要按参数名的ASCII码顺序排序。很多人加了分页参数后，只把OAuth参数放进了签名计算，漏掉了业务参数，直接导致签名不匹配。

解决示例：

// 合并OAuth参数和分页参数
$all_params = array_merge($oauth_params, ['page' => 2, 'per_page' => 10]);
// 按参数名ASCII排序
ksort($all_params);
// 生成符合RFC3986的参数字符串
$param_string = http_build_query($all_params, '', '&', PHP_QUERY_RFC3986);

2. 严格区分基础URL和请求参数 #

生成签名时的基础URL必须是不带任何参数的纯路径（比如https://www.example.com/api/data），不能把分页参数拼进基础URL里。如果错误地用https://www.example.com/api/data?page=2作为基础URL，签名计算逻辑会完全错乱。

解决方法：拆分URL，只保留协议、域名、路径部分作为基础URL，参数单独提取处理。

3. 参数编码必须符合RFC3986标准 #

普通的urlencode会把空格转成+，但OAuth要求转成%20，这也是常见的签名错误点。建议直接用rawurlencode或者在http_build_query中指定PHP_QUERY_RFC3986选项，确保编码完全符合规范。

4. 不要复用OAuth的nonce和timestamp #

每个请求的oauth_nonce（随机串）和oauth_timestamp必须是唯一的，分页请求属于新的独立请求，不能复用第一页的这两个参数，否则服务端会判定为重复请求，直接拒绝签名验证。

完整签名生成示例片段 #

function generate_hmac_sha1_signature($base_url, $method, $oauth_params, $request_params) {
    // 合并所有参数并排序
    $all_params = array_merge($oauth_params, $request_params);
    ksort($all_params);
    
    // 生成参数字符串
    $param_string = http_build_query($all_params, '', '&', PHP_QUERY_RFC3986);
    
    // 构建签名基础字符串
    $base_string = strtoupper($method) . '&' 
                 . rawurlencode($base_url) . '&' 
                 . rawurlencode($param_string);
    
    // 生成签名密钥
    $signing_key = rawurlencode($consumer_secret) . '&' 
                 . rawurlencode($token_secret ?? '');
    
    // 生成最终签名
    return base64_encode(hash_hmac('sha1', $base_string, $signing_key, true));
}

// 分页请求时的调用
$base_url = 'https://www.example.com/api/data';
$page_params = ['page' => 2, 'per_page' => 10];
$oauth_base = [
    'oauth_consumer_key' => '你的消费者密钥',
    'oauth_nonce' => uniqid(),
    'oauth_timestamp' => time(),
    'oauth_signature_method' => 'HMAC-SHA1',
    'oauth_version' => '1.0'
];

// 生成签名并补全OAuth参数
$oauth_base['oauth_signature'] = generate_hmac_sha1_signature(
    $base_url, 
    'GET', 
    $oauth_base, 
    $page_params
);

// 构建完整请求URL
$full_request_url = $base_url . '?' . http_build_query(
    array_merge($oauth_base, $page_params), 
    '', 
    '&', 
    PHP_QUERY_RFC3986
);

// 发起cURL请求
$ch = curl_init($full_request_url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
// 其他必要的cURL配置（如SSL验证等）
$response = curl_exec($ch);
curl_close($ch);

如果还是不行，建议把自己生成的签名基础字符串和签名密钥打印出来，和服务端文档要求的格式对比，或者开启服务端的OAuth日志，看具体是哪个环节不匹配。

内容的提问来源于stack exchange，提问作者kn13