「リクエストトークンはアクセストークンを取得するときだけ必要」で合っていますよ。
そういえば私も以前 PHP の HTTP_OAuth を使ったハイクへの投稿で、テキストだけの投稿はできるのに、画像をアップロードしようとすると signature が不正とやらで失敗するということがありました（未解決…）。