是否可以从oauth签名中提取consumer_secret？

Question

我有一个使用隐藏方法在数据库中加密的密码。 我想在PLAINTEXT签名模式下使用Oauth，以便能够从oauth_signature属性中提取consumer_secret。 首先，这样做是一个好主意吗？ 第二，如果我猜不到原始的consumer_secret的长度，该怎么办。

Answer 1

首先 ：不，这不是一个好主意。 为什么要这么做？

第二 ：带有秘密的整个想法是，您不应该能够猜出它们。

如果您是使用OAuth进行通信的API使用者或API提供者，则任何一方都必须从一开始就完全了解密钥和机密，否则该过程将无法完成。 这适用于任何签名方法。

话虽如此，如果您收到使用PLAINTEXT签名方法签名的请求，则用户密码位于oauth_signature参数中的&字符之前。

编辑 ：如果存储散列的机密，则需要在比较和验证之前以相同的方式散列传入的机密。