Oauth 1：在获得请求令牌之前，我应该为 HMAC-SHA1 方法中的令牌秘密使用什么值？

Question

HMAC-SHA1 签名方法需要一个由客户端共享密钥“&”和令牌共享密钥连接形成的密钥。

我想知道当客户端仍然没有请求或访问令牌时，我应该为令牌共享密钥使用哪个值：再次使用客户端共享密钥或将其留空。

来自规范：

3.4.2。 HMAC-SHA1

“HMAC-SHA1”签名方式使用HMAC-SHA1签名 [RFC2104] 中定义的算法：

 digest = HMAC-SHA1 (key, text)

HMAC-SHA1 函数变量的使用方式如下：

text 设置为签名基本字符串的值 第 3.4.1.1 节。

key 设置为以下的连接值：

      1.  The client shared-secret, after being encoded
          (Section 3.6).
      2.  An "&" character (ASCII code 38), which MUST be included
          even when either secret is empty.
      3.  The token shared-secret, after being encoded
          (Section 3.6).

digest 用于设置“oauth_signature”协议的值 参数，在结果八位字节字符串经过 base64 编码之后 根据 [RFC2045]，第 6.8 节。

谢谢

Answer 1

当令牌共享密钥不可用时，密钥应设置为客户端共享密钥加上“&”字符。