2010·federation·RFC 5849
Historical

OAuth 1.0a

Каждый запрос подписан HMAC-SHA1. Twitter долго не отпускал.

Плюсы
  • +Не требует TLS
  • +Подпись каждого запроса
Минусы
  • −Сложная подпись
  • −Headers/params/body в base string
OAuth 1.0a signed request
AppAPIcollect oauth_* params (no signature)normalize → base stringsigning key = pct(cs)&pct(ts)HMAC-SHA1 → oauth_signaturePOST + Authorization: OAuth …re-sign with same secrets200 OK
  1. 1.App ↺ Appcollect oauth_* params (no signature)
  2. 2.App ↺ Appnormalize → base string
  3. 3.App ↺ Appsigning key = pct(cs)&pct(ts)
  4. 4.App ↺ AppHMAC-SHA1 → oauth_signature
  5. 5.App → APIPOST + Authorization: OAuth …
  6. 6.API ↺ APIre-sign with same secrets
  7. 7.API → App200 OK
OAuth 1.0a signature
Network · DevTools
Запусти демо — сюда упадут все запросы.
Выбери запрос слева, чтобы посмотреть детали.