OAuth签名只能通过网址检查其他任何内容吗？

Question

我是否可以仅通过网址验证oauth_signature？

我有OAuth消费者的秘密，但我不有令牌秘密，我处于像中间人一样的位置，但我不想改变任何东西，但只是验证此oauth请求是否有效。我得到的只是一个包含标准内容的简单网址：

• oauth_consumer_key
• 组oauth_token
• oauth_signature_method（总是HMAC-SHA1）
• oauth_timestamp
• oauth_nonce
• oauth_signature。

我可以使用这些东西来验证吗？

Answer 1

您无法检查请求是否有效，如经过身份验证，这意味着您已设法破解OAuth提供程序，除非您设法获取消费者和令牌密钥，否则这是不可能的。

如果您只想检查请求是否包含格式正确的OAuth请求中所需的参数，那么您就在那里。

但是，所有请求都需要oauth_version参数，对于有效的OAuth 1.0a请求，1.0应始终为oauth_verifier。

如果请求是针对访问令牌的，那么oauth_token也应该存在。

如果请求是针对请求令牌，则不需要{{1}}。