如何验证签名/消费者秘密

Question

我正在创建自己的“ Oauth服务提供商“系统””，我对此表示怀疑。

我应该如何验证oauth_signature / consumer_secret ..我基本上不理解。

我的问题是：

1. 当oauth_signature参数发送给服务提供商时，它是否已经使用signature_method或“ plaintext”进行散列发送。
2. 收到该消息时，我是否应该使用signature_method对它进行哈希处理（或基于Q1进行哈希处理），然后查看它是否与数据库中的签名匹配？
3. 使用hash_hmac时 ，参数应该是什么？ 我的意思是，什么是数据，什么是函数的秘密

抱歉，如果操作复杂或我是一个菜鸟，我一直在寻找答案，但找不到任何明确的答案。

注意：我没有使用PHP的Oauth库/类

Answer 1

1. 那么，如果oauth_signature_method说PLAINTEXT ，该值oauth_signature只是简单的签名基本字符串。 如果客户端显示HMAC_SHA1或其他某种加密哈希算法，则客户端使用此算法使用其秘密对签名基础字符串进行哈希处理，然后将此哈希作为oauth_signature参数发送。
2. 由于客户端已经对基本字符串进行了哈希处理，因此您可以将发送的值与服务器端计算出的值进行比较。

3. data是您构造的签名基本字符串 ， secret是此格式的客户端和令牌的机密：

    {CONSUMER_SECRET}&{OAUTH_TOKEN_SECRET}