接口签名方案(简化版)

2020-06-17 17:39:26

## 签名作用 1. **请求者身份验证**。通过访问者唯一 ID 和密钥确定请求者身份。 2. **防止传输数据篡改**。对数据签名并检验,保障传输内容完整性。 3. **防止签名被盗用**。对签名设置时效,避免签名盗用并重复使用。 ## 准备工作 1. SecretId 和 SecretKey。 2. 确定开发语言: 支持但不限于 Java、PHP、C#、C++、Node.js、Python,根据不同的开发语言,确定对应的 HMAC-SHA1、SHA1 和 UrlEncode 函数。 其中,HMAC-SHA1 和 SHA1 函数以 UTF-8 编码字符串为输入,以16进制小写字符串为输出。UrlEncode 基于 UTF-8 编码,此外对于 ASCII 范围内的可打印字符,下列特殊符号也应被编码: | 字符 | 十进制 | 十六进制 | 字符 | 十进制 | 十六进制 | | ------ | ------ | -------- | ---- | ------ | -------- | | (空格) | 32 | 20 | ; | 59 | 3B | | ! | 33 | 21 | < | 60 | 3C | | " | 34 | 22 | = | 61 | 3D | | # | 35 | 23 | > | 62 | 3E | | $ | 36 | 24 | ? | 63 | 3F | | % | 37 | 25 | @ | 64 | 40 | | & | 38 | 26 | [ | 91 | 5B | | ' | 39 | 27 | \ | 92 | 5C | | ( | 40 | 28 | ] | 93 | 5D | | ) | 41 | 29 | ^ | 94 | 5E | | * | 42 | 2A | \` | 96 | 60 | | + | 43 | 2B | { | 123 | 7B | | , | 44 | 2C | \| | 124 | 7C | | / | 47 | 2F | } | 125 | 7D | | : | 58 | 3A | | | | ## 签名步骤 ### 步骤1:生成 KeyTime 1. 获取当前时间对应的 Unix 时间戳 StartTimestamp,Unix 时间戳是从 UTC(协调世界时,或 GMT 格林威治时间)1970年1月1日0时0分0秒(北京时间 1970年1月1日8时0分0秒)起至现在的总毫秒数。 2. 根据上述时间戳和期望的签名有效时长算出签名过期时间对应的 Unix 时间戳 EndTimestamp。 3. 拼接签名有效时间,格式为`StartTimestamp;EndTimestamp`,即为 KeyTime。 **示例:**`1592363963919;1593367993919` ### 步骤2:生成 SignKey 使用 `HMAC-SHA1` 以`SecretKey`为密钥,以 `KeyTime` 为消息,计算消息摘要(哈希值),即为 `SignKey`。 **示例:**`f48a7caaec408923b8ee49d802ab26d83591cfef` ### 步骤3:生成 UrlParamList 和 HttpParameters 1. 遍历 HTTP 请求参数,生成 key 到 value 的映射 Map 及 key 的列表 KeyList: - key 使用 `UrlEncode`编码。 - value 使用 `UrlEncode` 编码。若无 value 的参数,则认为 value 为空字符串。例如请求路径为`/?acl`,则认为是`/?acl=`。 >? HTTP 请求参数,即请求路径中`?`以后的部分,例如请求路径为`/?versions&prefix=example-folder%2F&delimiter=%2F&max-keys=10`,则请求参数为`versions&prefix=example-folder%2F&delimiter=%2F&max-keys=10`。 2. 将 KeyList 按照字典序排序。 3. 按照 KeyList 的顺序拼接 Map 中的每一个键值对,格式为`key1=value1&key2=value2&key3=value3`,即为 HttpParameters。 4. 按照 KeyList 的顺序拼接 KeyList 中的每一项,格式为`key1;key2;key3`,即为 UrlParamList。 #### 示例: - 示例一: 请求路径:`/?prefix=example-folder%2F&delimiter=%2F&max-keys=10` UrlParamList:`delimiter;max-keys;prefix` HttpParameters:`delimiter=%2F&max-keys=10&prefix=example-folder%2F` >!请求路径中的请求参数在实际发送请求时也会进行 UrlEncode,因此要注意不要重复执行 UrlEncode。 - 示例二: 请求路径:`/exampleobject?acl` UrlParamList:`acl` HttpParameters:`acl=` ### 步骤4:生成 StringToSign 根据 `KeyTime` 和 `HttpParameters` 生成 `StringToSign`,格式为`sha1\nKeyTime\nSHA1(HttpParameters)\n`。 其中: - sha1 为固定字符串。 - `\n`为换行符。 - SHA1(HttpParameters) 为使用 `SHA1` 对 `HttpParameters` 计算的消息摘要。 ### 步骤5:生成 Signature 使用`HMAC-SHA1`以 `SignKey`为密钥,以`StringToSign`为消息,计算消息摘要,即为 `Signature`。 ### 步骤6:生成签名 根据`SecretId`、`KeyTime`、`UrlParamList` 和 `Signature` 生成签名,格式为: ``` q-sign-time=KeyTime &q-url-param-list=UrlParamList &q-signature=Signature &q-ak=SecretId ``` >!上述格式中的换行仅用于更好的阅读,实际格式并不包含换行。 ## 签名使用 可以通过以下几种方式传递签名: 1. 通过标准的 HTTP Authorization 头,例如`Authorization: q-sign-time=1592...&q-url-param-list=a;b;c&q-signature=a40a5e...` 2. 作为 HTTP 请求参数,请注意 UrlEncode,例如`/exampleobject?q-sign-time=1592...&q-url-param-list=a;b;c&q-signature=a40a5e...` 3. 如需进一步防篡改,可将 Http 请求的更多元素进行签名,如请求方法(HttpMethod)、请求路径(UriPathname)、请求头(HttpHeaders),可参考 AWS S3 协议的完整签名方案。 >?上述示例中使用`...`省略了部分具体签名内容。 ## 代码示例 ### 伪代码 ```plaintext KeyTime = [Now];[Expires] SignKey = HMAC-SHA1([SecretKey], KeyTime) StringToSign = sha1\nKeyTime\nSHA1(HttpParameters)\n Signature = HMAC-SHA1(SignKey, StringToSign) ``` ### 消息摘要算法示例 不同语言如何调用 HMAC-SHA1 可以参考下面的示例: #### PHP ```php $sha1HttpString = sha1('ExampleHttpString'); $signKey = hash_hmac('sha1', 'ExampleKeyTime', 'YourSecretKey'); ``` #### Java ```java import org.apache.commons.codec.digest.DigestUtils; import org.apache.commons.codec.digest.HmacUtils; String sha1HttpString = DigestUtils.sha1Hex("ExampleHttpString"); String signKey = HmacUtils.hmacSha1Hex("YourSecretKey", "ExampleKeyTime"); ``` #### Python ```python import hmac import hashlib sha1_http_string = hashlib.sha1('ExampleHttpString'.encode('utf-8')).hexdigest() sign_key = hmac.new('YourSecretKey'.encode('utf-8'), 'ExampleKeyTime'.encode('utf-8'), hashlib.sha1).hexdigest() ``` #### Node.js ```node var crypto = require('crypto'); var sha1HttpString = crypto.createHash('sha1').update('ExampleHttpString').digest('hex'); var signKey = crypto.createHmac('sha1', 'YourSecretKey').update('ExampleKeyTime').digest('hex'); ``` #### Go ```go import ( "crypto/hmac" "crypto/sha1" ) h := sha1.New() h.Write([]byte("ExampleHttpString")) sha1HttpString := h.Sum(nil) var hashFunc = sha1.New h = hmac.New(hashFunc, []byte("YourSecretKey")) h.Write([]byte("ExampleKeyTime")) signKey := h.Sum(nil) ``` ## 实际案例 ### 请求示例 #### 原始请求 - **SecretId** = `12345` - **SecretKey** = `BQYIM75p8x0iWVFSIgqEKwFprpRSVHlz` ``` GET /demo?a=1&b=2&c=3 HTTP/1.1 Date: Thu, 16 May 2019 06:45:51 GMT Content-Type: text/plain ``` #### 中间变量 - **KeyTime** = `1592363963919;1593367993919` - **SignKey** = `f48a7caaec408923b8ee49d802ab26d83591cfef` - **UrlParamList** = `a;b;c` - **HttpParameters** = `a=1&b=2&c=3` - **StringToSign** = `sha1\n1592363963919;1593367993919\n147cb5937edc2fa8cb06a802bf0d64e0419a0fb1\n` - **Signature** = `a4086a5ef76ccea81b0e65642446441f74326e0f` 其中,`\n`代表换行符。 #### 签名后的请求 ``` GET /demo?a=1&b=2&c=3 HTTP/1.1 Date: Thu, 16 May 2019 06:45:51 GMT Content-Type: text/plain Authorization: q-sign-time=1592363963919;1593367993919&q-url-param-list=a;b;c&q-signature=a4086a5ef76ccea81b0e65642446441f74326e0f&q-ak=12345 ``` > 本文档摘取自 https://cloud.tencent.com/document/product/436/7778 ## 代码示例 ``` package com.fiebug.test; import org.apache.commons.codec.digest.DigestUtils; import org.apache.commons.codec.digest.HmacUtils; import org.junit.Test; import java.io.UnsupportedEncodingException; import java.net.URLDecoder; import java.net.URLEncoder; import java.util.*; /** * 接口签名测试类 */ public class SignTest { // 使用 HMAC-SHA1 以 SecretKey 为密钥,以 KeyTime 为消息,计算消息摘要(哈希值),即为 SignKey。 // 请求头 Authorization // Ref. https://cloud.tencent.com/document/product/436/7778 /* KeyTime = [Now];[Expires] SignKey = HMAC-SHA1([SecretKey], KeyTime) Signature = HMAC-SHA1(SignKey, UrlEncode([HttpParameters])) q-sign-time=KeyTime &q-url-param-list=UrlEncode(UrlParamList) &q-signature=Signature &q-ak=SecretId */ @Test public void testSign() { String secretId = "12345678"; String secretKey = "BQYIM75p8x0iWVFSIgqEKwFprpRSVHlz"; String keyTime = "1593394537348;1593494537348"; // 构造参数 Map parameters = new LinkedHashMap<>(); parameters.put("a", "1"); parameters.put("b", "2"); parameters.put("c", "3"); parameters.put("特;殊", "4-特殊"); parameters.put("a&b", "5-a&b"); parameters.put("a=b", "6-a=b"); parameters.put("888", "88888"); parameters.put("null", null); parameters.put("empty", ""); // 签名测试 String authorization = signature(secretId, secretKey, keyTime, parameters); System.out.println(authorization); System.out.println(getSecretId(authorization)); System.out.println(checkSignature(secretKey, authorization, parameters)); System.out.println("done"); } /** * 生成签名 * * @param secretId * @param secretKey * @param keyTime * @param parameters * @return */ private String signature(String secretId, String secretKey, String keyTime, Map parameters) { String SignKey = hmacSha1Hex(secretKey, keyTime); StringBuilder urlParamListBuilder = new StringBuilder(); StringBuilder httpParametersBuilder = new StringBuilder(); if (parameters != null) { List keyListOriginal = new ArrayList<>(parameters.keySet()); for (String key : keyListOriginal) { urlParamListBuilder.append(urlEncode(key)).append(";"); httpParametersBuilder.append(urlEncode(key)).append("=").append(urlEncode(parameters.get(key))).append("&"); } if (httpParametersBuilder.length() > 0) { urlParamListBuilder.deleteCharAt(urlParamListBuilder.length() - 1); httpParametersBuilder.deleteCharAt(httpParametersBuilder.length() - 1); } } String HttpString = httpParametersBuilder.toString(); String StringToSign = "sha1\n" + keyTime + "\n" + sha1Hex(HttpString) + "\n"; String signature = hmacSha1Hex(SignKey, StringToSign); // 组装签名串 StringBuilder authorizationBuilder = new StringBuilder(); authorizationBuilder.append("q-sign-time=").append(keyTime) .append("&q-url-param-list=").append(urlParamListBuilder.toString()) .append("&q-signature=").append(signature) .append("&q-ak=").append(secretId); return authorizationBuilder.toString(); } /** * 校验签名 * * @param secretKey * @param authorization * @param parameters * @return */ private boolean checkSignature(String secretKey, String authorization, Map parameters) { Map authorizationMap = new HashMap<>(); String[] qArr = authorization.split("&"); for (String qStr : qArr) { String[] split = qStr.split("="); if (split.length > 1) { authorizationMap.put(split[0], split[1]); } else { authorizationMap.put(split[0], null); } } String keyTime = authorizationMap.get("q-sign-time"); String urlParamStr = authorizationMap.get("q-url-param-list"); String[] urlParamArr = urlParamStr != null ? urlParamStr.split(";") : new String[0]; String signature = authorizationMap.get("q-signature"); // 校验时效 String[] keyTimeArr = keyTime.split(";"); if (System.currentTimeMillis() > Long.valueOf(keyTimeArr[1])) { return false; } StringBuilder httpParametersBuilder = new StringBuilder(); if (parameters != null) { for (String urlParam : urlParamArr) { String key = urlDecoder(urlParam); String value = parameters.get(key); httpParametersBuilder.append(urlEncode(key)).append("=").append(urlEncode(value)).append("&"); } if (httpParametersBuilder.length() > 0) { httpParametersBuilder.deleteCharAt(httpParametersBuilder.length() - 1); } } String SignKey = hmacSha1Hex(secretKey, keyTime); String HttpString = httpParametersBuilder.toString(); String StringToSign = "sha1\n" + keyTime + "\n" + sha1Hex(HttpString) + "\n"; String signatureCheck = hmacSha1Hex(SignKey, StringToSign); return signatureCheck.equals(signature); } private String getSecretId(String authorization) { String[] qArr = authorization.split("&"); for (String qStr : qArr) { String[] split = qStr.split("="); if ("q-ak".equals(split[0])) { if (split.length > 1) { return split[1]; } else { return null; } } } return null; } private String urlEncode(String str) { try { if (str == null) { return URLEncoder.encode("", "UTF-8"); } else { return URLEncoder.encode(str, "UTF-8"); } } catch (UnsupportedEncodingException e) { throw new RuntimeException(e); } } private String urlDecoder(String str) { try { if (str == null) { return URLDecoder.decode("", "UTF-8"); } else { return URLDecoder.decode(str, "UTF-8"); } } catch (UnsupportedEncodingException e) { throw new RuntimeException(e); } } private String sha1Hex(String data) { return DigestUtils.sha1Hex(data); } private String hmacSha1Hex(String key, String valueToDigest) { return HmacUtils.hmacSha1Hex(key, valueToDigest); // return new HmacUtils(HmacAlgorithms.HMAC_SHA_1, key).hmacHex(valueToDigest); } } ```

分类:编程     关键词:接口,签名

评论(0) 浏览(47)