本文详解 Go 中实现 Twitter OAuth 1.0a（非 OAuth 2.0）请求令牌获取时出现 {"errors":[{"code":32,"message":"Could not authenticate you."}]} 的根本原因，并提供符合 RFC 5849 规范的签名生成、参数编码与 Authorization 头构造方法。
本文详解 go 中实现 twitter oauth 1.0a（非 oauth 2.0）请求令牌获取时出现 `{"errors":[{"code":32,"message":"could not authenticate you."}]}` 的根本原因，并提供符合 rfc 5849 规范的签名生成、参数编码与 authorization 头构造方法。
在使用 Go 实现 Twitter OAuth 1.0a 登录流程时，code:32 错误（“Could not authenticate you”）是典型的签名或授权头构造不合规所致。该错误并非认证凭据错误，而是 Twitter API 在签名验证阶段因 Base String 不匹配、参数未正确 percent-encode、或 Authorization 头格式非法而直接拒绝请求。
关键问题在于：原始代码中 requestString() 函数未对整个 params.Encode() 结果进行 URI 编码，且 Sign() 函数使用的 baseString 构造方式违反了 RFC 5849 §3.4.1.3.2 —— Base String 必须由 HTTP 方法、URI 和已排序并双层编码（double-encoded）的参数字符串三部分拼接而成，且三者均需独立 URI 编码。
✅ 正确做法如下：
1. 严格构造 Base String（含双重编码）
func buildBaseString(method, url string, params url.Values) string {
// 步骤1：对 URL 进行 percent-encode（RFC 3986）
encodedURL := escape(url)
// 步骤2：对所有参数键值对排序后拼接为 k1=v1&k2=v2 形式，并整体 double-encode
sortedParams := sortParams(params) // 按字典序升序排列
encodedParams := escape(sortedParams.Encode())
// 步骤3：拼接 Base String 并再次 encode 整体（注意：method 不需 encode，但 & 和各部分需）
base := fmt.Sprintf("%s&%s&%s", escape(method), encodedURL, encodedParams)
return base
}
// escape 实现（符合 RFC 3986 的 OAuth 特殊编码：不编码字母数字及 -._~）
func escape(s string) string {
return strings.ReplaceAll(
url.QueryEscape(s),
"+", "%20",
)
}
// sortParams：按 key 字典序排序并返回新 Values
func sortParams(params url.Values) url.Values {
keys := make([]string, 0, len(params))
for k := range params {
keys = append(keys, k)
}
sort.Strings(keys)
sorted := url.Values{}
for _, k := range keys {
for _, v := range params[k] {
sorted.Add(k, v)
}
}
return sorted
}2. 正确生成 HMAC-SHA1 签名
func signBaseString(baseString, consumerSecret, tokenSecret string) (string, error) {
key := fmt.Sprintf("%s&%s", escape(consumerSecret), escape(tokenSecret))
h := hmac.New(sha1.New, []byte(key))
h.Write([]byte(baseString))
return base64.StdEncoding.EncodeToString(h.Sum(nil)), nil
}⚠️ 注意：tokenSecret 在首次请求 request_token 时为空字符串（即 ""），因此密钥为 consumer_secret + "&"（末尾保留 &）。
3. 手动构造标准 Authorization Header（不可依赖 req.Header.Add("Authorization", "OAuth ") 空值）
func buildAuthHeader(params url.Values, signature string) string {
// 所有参数值必须单独 escape（包括 oauth_token、oauth_callback 等）
authParams := []string{
`oauth_callback="` + escape(params.Get("oauth_callback")) + `"`,
`oauth_consumer_key="` + escape(params.Get("oauth_consumer_key")) + `"`,
`oauth_nonce="` + escape(params.Get("oauth_nonce")) + `"`,
`oauth_signature="` + escape(signature) + `"`,
`oauth_signature_method="HMAC-SHA1"`,
`oauth_timestamp="` + escape(params.Get("oauth_timestamp")) + `"`,
`oauth_version="1.0"`,
}
// 注意：request_token 流程中 oauth_token 为空，不应添加！
// 若误加 "oauth_token=xxx" 会导致签名失败（因 base string 未含此参数）
return "OAuth " + strings.Join(authParams, ",")
}4. 完整请求示例（修正版）
func HandleTwitterLogin(w http.ResponseWriter, r *http.Request, _ httprouter.Params) {
// 1. 构建必要参数（不含 oauth_token）
params := url.Values{}
params.Set("oauth_callback", twitterConf.RedirectURL)
params.Set("oauth_consumer_key", twitterConf.ClientID)
params.Set("oauth_nonce", generateNonce())
params.Set("oauth_signature_method", "HMAC-SHA1")
params.Set("oauth_timestamp", strconv.FormatInt(time.Now().Unix(), 10))
params.Set("oauth_version", "1.0")
// 2. 构造 Base String 并签名（tokenSecret 为空）
baseString := buildBaseString("POST", twitterConf.Endpoint.RequestTokenUrl, params)
signature, err := signBaseString(baseString, twitterConf.ClientSecret, "")
if err != nil {
http.Error(w, "Signature failed", http.StatusInternalServerError)
return
}
// 3. 添加签名到参数 & 构造 Authorization header
params.Set("oauth_signature", signature)
authHeader := buildAuthHeader(params, signature)
// 4. 发起 POST 请求（Body 为空，参数全在 Authorization 头中）
req, _ := http.NewRequest("POST", twitterConf.Endpoint.RequestTokenUrl, nil)
req.Header.Set("Authorization", authHeader)
client := &http.Client{}
resp, err := client.Do(req)
if err != nil {
http.Error(w, "Request failed", http.StatusInternalServerError)
return
}
defer resp.Body.Close()
body, _ := io.ReadAll(resp.Body)
if resp.StatusCode != 200 {
http.Error(w, fmt.Sprintf("Twitter API error: %s", body), http.StatusInternalServerError)
return
}
// 解析 response（格式如：oauth_token=xxx&oauth_token_secret=yyy&oauth_callback_confirmed=true）
values, _ := url.ParseQuery(string(body))
log.Printf("Got request token: %s", values.Get("oauth_token"))
}⚠️ 关键注意事项
-
勿混用 OAuth 1.0a 与 OAuth 2.0 Endpoint：
/oauth2/token是 OAuth 2.0 接口，而/oauth/request_token属于 OAuth 1.0a；当前代码中AccessTokenUrl配置为/oauth2/token是严重错误，应改为/oauth/access_token。 -
oauth_token在 request_token 阶段必须省略：首次获取 request token 时，请求中不能包含oauth_token参数（否则签名和 header 均会失效）。 -
时间戳与 nonce 必须唯一且合理：
oauth_timestamp应为 Unix 秒级时间，偏差超过 15 分钟将被 Twitter 拒绝；oauth_nonce需全局唯一（建议用 UUID 或加密随机数）。 -
务必使用
http.NewRequest的nilBody +Authorization头方式：Twitter 不接受将 OAuth 参数拼在 URL Query 中的 POST 请求（即使 RFC 允许，Twitter 仅支持 Header 方式）。
遵循以上规范后，code:32 错误将彻底消失，成功获取 oauth_token 与 oauth_token_secret，进而完成后续 authorize 与 access_token 获取流程。
