阿里云會(huì)對(duì)每個(gè)訪問(wèn)的請(qǐng)求進(jìn)行身份驗(yàn)證,所以無(wú)論使用 HTTP 還是 HTTPS 協(xié)議提交請(qǐng)求,都需要在請(qǐng)求中包含簽名(Signature)信息。
通過(guò)使用 Access Key ID 和 Access Key Secret 進(jìn)行對(duì)稱加密的方法來(lái)驗(yàn)證請(qǐng)求的發(fā)送者身份。Access Key ID 和 Access Key Secret 由阿里云官方頒發(fā)給訪問(wèn)者(可以通過(guò)阿里云官方網(wǎng)站申請(qǐng)和管理),其中 Access Key ID 用于標(biāo)識(shí)訪問(wèn)者的身份;Access Key Secret 是用于加密簽名字符串和服務(wù)器端驗(yàn)證簽名字符串的密鑰,必須嚴(yán)格保密,只有阿里云和用戶知道。
重要 阿里云提供了多種語(yǔ)言的 SDK 及第三方 SDK,可以免去您對(duì)簽名算法進(jìn)行編碼的麻煩。您可以從阿里云開(kāi)發(fā)工具包了解更多阿里云 SDK 的信息。
簽名操作
您在訪問(wèn)時(shí),請(qǐng)按照如下步驟對(duì)請(qǐng)求進(jìn)行簽名處理:
- 使用請(qǐng)求參數(shù)構(gòu)造規(guī)范化的請(qǐng)求字符串(Canonicalized Query String)。
- 參數(shù)排序
按照參數(shù)名稱的字典順序?qū)φ?qǐng)求中所有的請(qǐng)求參數(shù)(包括“公共請(qǐng)求參數(shù)”和接口的自定義參數(shù),但不能包括“公共請(qǐng)求參數(shù)”中提到的 Signature 參數(shù)本身)進(jìn)行排序。
重要 當(dāng)使用 GET 方法提交請(qǐng)求時(shí),這些參數(shù)就是請(qǐng)求 URI 中的參數(shù)部分(即 URI 中“?”之后由“&”連接的部分)。 - 參數(shù)編碼 對(duì)排序之后的請(qǐng)求參數(shù)的名稱和值分別用 UTF-8 字符集進(jìn)行 URL 編碼。編碼的規(guī)則如下:
對(duì)于字符 A-Z、a-z、0-9 以及字符“-”、“_”、“.”、“~”不編碼;
對(duì)于其他字符編碼成 “%XY” 的格式,其中 XY 是字符對(duì)應(yīng) ASCII 碼的 16 進(jìn)制表示。例如英文的雙引號(hào)(”)對(duì)應(yīng)的編碼就是 %22;
對(duì)于擴(kuò)展的 UTF-8 字符,編碼成 “%XY%ZA…” 的格式;
英文空格( )要被編碼是 %20,而不是加號(hào)(+);
重要 該編碼方式和一般采用的 application/x-www-form-urlencoded MIME 格式編碼算法(例如 Java 標(biāo)準(zhǔn)庫(kù)中的 java.net.URLEncoder 的實(shí)現(xiàn))相似,但又有所不同。實(shí)現(xiàn)時(shí),可以先用標(biāo)準(zhǔn)庫(kù)的方式進(jìn)行編碼,然后把編碼后的字符串中加號(hào)(+)替換成 %20、星號(hào)(*)替換成 %2A、%7E 替換回波浪號(hào)(~),即可得到上述規(guī)則描述的編碼字符串。這個(gè)算法可以用下面的 percentEncode 方法來(lái)實(shí)現(xiàn):private static final String ENCODING = "UTF-8"; private static String percentEncode(String value) throws UnsupportedEncodingException { return value != null ? URLEncoder.encode(value, ENCODING).replace("+", "%20").replace("*", "%2A").replace("%7E", "~") : null; }
- 將編碼后的參數(shù)名稱和值用英文等號(hào)(=)進(jìn)行連接。
- 將等號(hào)連接得到的參數(shù)組合按步驟(a)排好的順序依次使用&符號(hào)連接,即得到規(guī)范化請(qǐng)求字符串。
- 參數(shù)排序
- 將步驟 1 中構(gòu)造的規(guī)范化字符串按照下面的規(guī)則構(gòu)造成待簽名的字符串:
StringToSign= HTTPMethod + “&” + percentEncode(“/”) + ”&” + percentEncode(CanonicalizedQueryString)
其中:- HTTPMethod 是提交請(qǐng)求用的 HTTP 方法,例如 GET。
- percentEncode(“/”) 是按照 1.ii 中描述的 URL 編碼規(guī)則對(duì)字符 “/” 進(jìn)行編碼得到的值,即 “%2F”。
- percentEncode (CanonicalizedQueryString) 是對(duì)步驟 1 中構(gòu)造的規(guī)范化請(qǐng)求字符串按 1.ii 中描述的 URL 編碼規(guī)則編碼后得到的字符串。
- 按照 RFC2104 的定義,計(jì)算待簽名字符串 StringToSign 的 HMAC 值。 重要 計(jì)算簽名時(shí)使用的 Key 就是用戶持有的 AccessKey Secret 并加上一個(gè) “&” 字符(ASCII:38),使用的哈希算法是 SHA1。
- 按照 Base64 編碼規(guī)則把上面的 HMAC 值編碼成字符串,即得到簽名值(Signature)。
- 將得到的簽名值作為 Signature 參數(shù)添加到請(qǐng)求參數(shù)中,即完成對(duì)請(qǐng)求簽名的過(guò)程。 重要 得到的簽名值在作為最后的請(qǐng)求參數(shù)值提交給 ECS 服務(wù)器的時(shí)候,要和其他參數(shù)一樣,按照 RFC3986 的規(guī)則進(jìn)行 URL 編碼。
示例
以 DescribeRegions 為例,假設(shè)使用的 AccessKey Id 是 testid, AccessKey Secret 是 testsecret。 那么簽名前的請(qǐng)求 URL 為:
http://ecs.aliyuncs.com/?TimeStamp=2016-02-23T12:46:24Z&Format=XML&AccessKeyId=testid&Action=DescribeRegions&SignatureMethod=HMAC-SHA1&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&SignatureVersion=1.0
而計(jì)算得到的待簽名字符串 StringToSign 為:
GET&%2F&AccessKeyId%3Dtestid&Action%3DDescribeRegions&Format%3DXML&SignatureMethod%3DHMAC-SHA1&SignatureNonce%3D3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&SignatureVersion%3D1.0&TimeStamp%3D2016-02-23T12%253A46%253A24Z&Version%3D2014-05-26
因?yàn)锳ccessKey Secret 是 testsecret,所以用于計(jì)算 HMAC 的 Key 為 testsecret&,計(jì)算得到的簽名值為CT9X0VtwR86fNWSnsc6v8YGOjuE
。
將簽名作為 Signature 參數(shù)加入到 URL 請(qǐng)求中, 最后得到的 URL 為:
http://ecs.aliyuncs.com/?SignatureVersion=1.0&Action=DescribeRegions&Format=XML&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&AccessKeyId=testid&Signature=CT9X0VtwR86fNWSnsc6v8YGOju****&SignatureMethod=HMAC-SHA1&TimeStamp=2016-02-23T12%3A46%3A24Z
JAVA代碼示例
以下為簽名的JAVA demo供您參考。
配置文件Config.java。
/* * Copyright ? 2020 Alibaba. All rights reserved. */ package com.aliyun.databricks.demo.sign; /** * 服務(wù)端API簽名配置文件 * * @author: ali * @version: 0.1 2020-07-16 16:45:54 */ public class Config { // AccessKey信息 public static String accessKey = "1234567890123456"; public static String accessKeySecret = "123456789012345678901234567890"; public final static String CHARSET_UTF8 = "utf8"; }
配置文件UrlUtil.java。
/* * Copyright ? 2020 Alibaba. All rights reserved. */ package com.aliyun.databricks.demo.sign; import java.net.URLEncoder; import java.util.Map; import org.apache.commons.lang3.StringUtils; /** * URL處理類 * * @author: ali * @version: 0.1 2020-07-16 16:45:54 */ public class UrlUtil { private final static String CHARSET_UTF8 = "utf8"; public static String urlEncode(String url) { if (!StringUtils.isEmpty(url)) { try { url = URLEncoder.encode(url, "UTF-8"); } catch (Exception e) { System.out.println("Url encode error:" + e.getMessage()); } } return url; } public static String generateQueryString(Map<String, String> params, boolean isEncodeKV) { StringBuilder canonicalizedQueryString = new StringBuilder(); for (Map.Entry<String, String> entry : params.entrySet()) { if (isEncodeKV) canonicalizedQueryString.append(percentEncode(entry.getKey())).append("=") .append(percentEncode(entry.getValue())).append("&"); else canonicalizedQueryString.append(entry.getKey()).append("=").append(entry.getValue()).append("&"); } if (canonicalizedQueryString.length() > 1) { canonicalizedQueryString.setLength(canonicalizedQueryString.length() - 1); } return canonicalizedQueryString.toString(); } public static String percentEncode(String value) { try { // 使用URLEncoder.encode編碼后,將"+","*","%7E"做替換即滿足API規(guī)定的編碼規(guī)范 return value == null ? null : URLEncoder.encode(value, CHARSET_UTF8).replace("+", "%20").replace("*", "%2A").replace("%7E", "~"); } catch (Exception e) { } return ""; } }
配置文件SignatureUtils.java。
/* * Copyright ? 2020 Alibaba. All rights reserved. */ package com.aliyun.databricks.demo.sign; import java.io.IOException; import java.io.UnsupportedEncodingException; import java.net.URI; import java.net.URISyntaxException; import java.net.URLDecoder; import java.net.URLEncoder; import java.util.Map; import java.util.TreeMap; import javax.crypto.Mac; import javax.crypto.spec.SecretKeySpec; import org.apache.commons.codec.binary.Base64; import org.apache.commons.lang3.StringUtils; /** * 服務(wù)端API簽名 * * @author: ali * @version: 0.1 2020-07-16 16:45:54 */ public class SignatureUtils { private final static String CHARSET_UTF8 = "utf8"; private final static String ALGORITHM = "UTF-8"; private final static String SEPARATOR = "&"; public static Map<String, String> splitQueryString(String url) throws URISyntaxException, UnsupportedEncodingException { URI uri = new URI(url); String query = uri.getQuery(); final String[] pairs = query.split("&"); TreeMap<String, String> queryMap = new TreeMap<String, String>(); for (String pair : pairs) { final int idx = pair.indexOf("="); final String key = idx > 0 ? pair.substring(0, idx) : pair; if (!queryMap.containsKey(key)) { queryMap.put(key, URLDecoder.decode(pair.substring(idx + 1), CHARSET_UTF8)); } } return queryMap; } public static String generate(String method, Map<String, String> parameter, String accessKeySecret) throws Exception { String signString = generateSignString(method, parameter); System.out.println("signString---" + signString); byte[] signBytes = hmacSHA1Signature(accessKeySecret + "&", signString); String signature = newStringByBase64(signBytes); System.out.println("signature----" + signature); if ("POST".equals(method)) return signature; return URLEncoder.encode(signature, "UTF-8"); } public static String generateSignString(String httpMethod, Map<String, String> parameter) throws IOException { TreeMap<String, String> sortParameter = new TreeMap<String, String>(); sortParameter.putAll(parameter); String canonicalizedQueryString = UrlUtil.generateQueryString(sortParameter, true); if (null == httpMethod) { throw new RuntimeException("httpMethod can not be empty"); } StringBuilder stringToSign = new StringBuilder(); stringToSign.append(httpMethod).append(SEPARATOR); stringToSign.append(percentEncode("/")).append(SEPARATOR); stringToSign.append(percentEncode(canonicalizedQueryString)); return stringToSign.toString(); } public static String percentEncode(String value) { try { return value == null ? null : URLEncoder.encode(value, CHARSET_UTF8).replace("+", "%20").replace("*", "%2A").replace("%7E", "~"); } catch (Exception e) { } return ""; } public static byte[] hmacSHA1Signature(String secret, String baseString) throws Exception { if (StringUtils.isEmpty(secret)) { throw new IOException("secret can not be empty"); } if (StringUtils.isEmpty(baseString)) { return null; } Mac mac = Mac.getInstance("HmacSHA1"); SecretKeySpec keySpec = new SecretKeySpec(secret.getBytes(CHARSET_UTF8), ALGORITHM); mac.init(keySpec); return mac.doFinal(baseString.getBytes(CHARSET_UTF8)); } public static String newStringByBase64(byte[] bytes) throws UnsupportedEncodingException { if (bytes == null || bytes.length == 0) { return null; } return new String(Base64.encodeBase64(bytes, false), CHARSET_UTF8); } }
配置主入口文件Main.java。
/* * Copyright ? 2018 Alibaba. All rights reserved. */ package com.aliyun.databricks.demo.sign; import java.io.UnsupportedEncodingException; import java.net.URLEncoder;import java.util.HashMap; import java.util.Map; /** * 簽名工具主入口 * * @author: ali * @version: 0.1 2020-07-16 16:45:54 */ public class Main { // 1.需求修改Config.java中的AccessKey信息 // 2.建議使用方法二,所有參數(shù)都需要一一填寫(xiě) // 3."最終signature"才是你需要的簽名最終結(jié)果 public static void main(String[] args) throws UnsupportedEncodingException { // 方法一 System.out.println("方法一:"); String str = "GET&%2F&AccessKeyId%3D" + Config.accessKey + "%26Action%3DDescribeFlowProject%26Format" + "%3DJSON%26ProjectId%3D1533023037%26RegionId%3Dcn-hangzhou%26SignatureMethod%3DHMAC-SHA1" + "%26SignatureNonce%3D1533023037%26SignatureVersion%3D1" + ".0%26Timestamp%3D2020-07-16T07%253A43%253A57Z%26Version%3D2020-06-17"; byte[] signBytes; try { signBytes = SignatureUtils.hmacSHA1Signature(Config.accessKeySecret + "&", str.toString()); String signature = SignatureUtils.newStringByBase64(signBytes); System.out.println("signString---" + str); System.out.println("signature----" + signature); System.out.println("最終signature:" + URLEncoder.encode(signature, Config.CHARSET_UTF8)); } catch (Exception e) { e.printStackTrace(); } System.out.println(); // 方法二 System.out.println("方法二:"); Map<String, String> map = new HashMap<String, String>(); // 公共參數(shù) map.put("Format", "JSON"); map.put("Version", "2020-06-17"); map.put("AccessKeyId", Config.accessKey); map.put("SignatureMethod", "HMAC-SHA1"); map.put("Timestamp", "2020-07-16T07:43:57Z"); map.put("SignatureVersion", "1.0"); map.put("SignatureNonce", "1533023037"); map.put("RegionId", "cn-hangzhou"); // 請(qǐng)求參數(shù) map.put("Action", "DescribeFlowProject"); map.put("ProjectId", "1533023037"); try { String signature = SignatureUtils.generate("GET", map, Config.accessKeySecret); System.out.println("最終signature:" + signature); } catch (Exception e) { e.printStackTrace(); } System.out.println(); } }