什么是API 签名机制?-问答-阿里云开发者社区-阿里云

开发者社区> 问答> 正文

什么是API 签名机制?

nicenelly 2017-10-24 14:46:04 1286


阿里云产品服务会对每个访问请求进行身份验证,所以无论您使用 HTTP 还是 HTTPS 协议提交请求,都需要在请求中包含签名(Signature)信息。
签名需要您在控制台 Access Key 管理 页面获得 Access Key ID 和 Access Key Secret,进行对称加密来验证请求的发送者身份。其中,Access Key ID 用于标识访问者身份;Access Key Secret 是用于加密签名字符串和服务器端验证签名字符串的密钥,必须严格保密。
注意:阿里云提供了 PythonJavaPHPC# 等语言的 SDK 及第三方 SDK,可以免去您对签名算法进行编码的麻烦。您可以从 这里 了解更多阿里云 SDK 的信息。

签名操作


您在访问时,需要按照下面的方法对请求进行签名处理。

  1. 构造规范化的请求字符串(Canonicalized Query String)。
    按参数名进行排序。
    按照参数名称的字典顺序对请求中所有的请求参数进行排序,包括“公共请求参数”(不包括 Signature 参数)和接口的自定义参数。

    注意:当使用 GET 方法提交请求时,这些参数就是请求 URI 中的参数部分(即 URI 中“?”之后由“&”连接的部分)。

  2. 对参数名称和参数值进行 URL 编码。
    名称和值要使用 UTF-8 字符集进行 URL 编码。URL 编码的规则如下:
    • 字符 A~Z、a~z、0~9 以及字符“-”、“_”、“.”、“~”不编码;
    • 其它字符编码成 %XY 的格式,其中 XY 是字符对应 ASCII 码的 16 进制表示。比如英文的双引号(”)对应的编码为 %22;
    • 对于扩展的 UTF-8 字符,编码成 %XY%ZA… 的格式;
    • 英文空格( )要编码成 %20,而不是加号(+)。

注意:一般支持URL编码的库(比如 Java 中的 java.net.URLEncoder)都是按照 “application/x-www-form-urlencoded”的 MIME 类型的规则进行编码的。实现时可以直接使用这类方式进行编码,把编码后的字符串中加号(+)替换成 %20、星号(*)替换成 %2A、%7E 替换回波浪号(~),即可得到上述规则描述的编码字符串。

  • 对编码后的参数名称和值使用英文等号(=)进行连接。

  • 按参数名称的字典顺序,把英文等号连接得到字符串依次使用 & 符号连接,即得到规范化请求字符串。

  • 构造被签名字符串。
    基于步骤 1 得到的规范化字符串构造用于计算签名的字符串,可参考如下规则:<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1. StringToSign=
    2.      HTTPMethod + “&” +
    3.      percentEncode(“/”) + ”&” +
    4.       percentEncode(CanonicalizedQueryString)

    其中:
    • HTTPMethod 是提交请求用的 HTTP 方法,比如 GET。
    • percentEncode(“/”) 是按照步骤 1.i 中描述的 URL 编码规则对字符 “/” 进行编码得到的值,即 %2F。
    • percentEncode(CanonicalizedQueryString) 是对步骤 1 中构造的规范化请求字符串按步骤 1.ii 中描述的 URL 编码规则编码后得到的字符串。

    计算 HMAC 值。
    按照 RFC2104 的定义,使用步骤 2 得到的字符串计算签名 HMAC 值。

    注意:计算签名时使用的 Key 就是您持有的 Access Key Secret 并加上一个 “&” 字符(ASCII:38),使用的哈希算法是 SHA1。

    计算签名值。
    按照 Base64 编码规则 把步骤 3 中的 HMAC 值编码成字符串,即得到签名值(Signature)。
    添加签名。
    将得到的签名值作为 Signature 参数添加到请求参数中,即完成对请求签名的过程。

    注意:得到的签名值在作为最后的请求参数值提交给服务器时,要和其它参数一样,按照 RFC3986 的规则进行 URL 编码。


    示例


    以 DescribeRegions 为例,假设使用的 Access Key Id 为 testid, Access Key Secret 为 testsecret。 那么签名前的请求 URL 为:<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1.    http://ecs.aliyuncs.com/?TimeStamp=2016-02-23T12:46:24Z&Format=XML&AccessKeyId=testid&Action=DescribeRegions&SignatureMethod=HMAC-SHA1&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&SignatureVersion=1.0

    计算得到的待签名字符串 StringToSign 为:<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1.    GET&%2F&AccessKeyId%3Dtestid&Action%3DDescribeRegions&Format%3DXML&SignatureMethod%3DHMAC-SHA1&SignatureNonce%3D3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&SignatureVersion%3D1.0&TimeStamp%3D2016-02-23T12%253A46%253A24Z&Version%3D2014-05-26

    因为 Access Key Secret 为 testsecret,所以用于计算 HMAC 的 Key 为 testsecret&,计算得到的签名值为:<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1.    CT9X0VtwR86fNWSnsc6v8YGOjuE=

    将签名作为 Signature 参数加入到 URL 请求中,最后得到的 URL 为:<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1.    http://ecs.aliyuncs.com/?SignatureVersion=1.0&Action=DescribeRegions&Format=XML&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&AccessKeyId=testid&Signature=CT9X0VtwR86fNWSnsc6v8YGOjuE%3D&SignatureMethod=HMAC-SHA1&TimeStamp=2016-02-23T12%3A46%3A24Z


    Java 示例代码


    本示例不需要依赖第三方的库包,可以直接使用。签名步骤如下所示。

    1. 构造规范化的请求字符串(排序及 URL 编码)。<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums=""> public static Map<String, String> splitQueryString(String url)
    2.          throws URISyntaxException, UnsupportedEncodingException {
    3.      URI uri = new URI(url);
    4.      String query = uri.getQuery();
    5.      final String[] pairs = query.split("&");
    6.      TreeMap<String, String> queryMap = new TreeMap<String, String>();
    7.      for (String pair : pairs) {
    8.          final int idx = pair.indexOf("=");
    9.          final String key = idx > 0 ? pair.substring(0, idx) : pair;
    10.          if (!queryMap.containsKey(key)) {
    11.              queryMap.put(key, URLDecoder.decode(pair.substring(idx + 1),
    12.                      CHARSET_UTF8));
    13.          }
    14.      }
    15.      return queryMap;
    16. }
    17. /** 对参数名称和参数值进行URL编码**/
    18. public static String generate(String method, Map<String, String> parameter,
    19.                                String accessKeySecret) throws Exception {
    20.      String signString = generateSignString(method, parameter);
    21.      System.out.println("signString---" + signString);
    22.      byte[] signBytes = hmacSHA1Signature(accessKeySecret + "&", signString);
    23.      String signature = newStringByBase64(signBytes);
    24.      System.out.println("signature---" + signature);
    25.      if ("POST".equals(method))
    26.          return signature;
    27.      return URLEncoder.encode(signature, "UTF-8");
    28. }

    构造成待签名的字符串。<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1. public static String generateSignString(String httpMethod,
    2.                                          Map<String, String> parameter) throws IOException {
    3.      TreeMap<String, String> sortParameter = new TreeMap<String, String>();
    4.      sortParameter.putAll(parameter);
    5.      String canonicalizedQueryString = UrlUtil.generateQueryString(
    6.              sortParameter, true);
    7.      if (null == httpMethod) {
    8.          throw new RuntimeException("httpMethod can not be empty");
    9.      }
    10.      /** 构造待签名的字符串* */
    11.      StringBuilder stringToSign = new StringBuilder();
    12.      stringToSign.append(httpMethod).append(SEPARATOR);
    13.      stringToSign.append(percentEncode("/")).append(SEPARATOR);
    14.      stringToSign.append(percentEncode(canonicalizedQueryString));
    15.      return stringToSign.toString();
    16. }

    计算待签名字符串的 HMAC 值。<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1. public static byte[] hmacSHA1Signature(String secret, String baseString)
    2.          throws Exception {
    3.      if (isEmpty(secret)) {
    4.          throw new IOException("secret can not be empty");
    5.      }
    6.      if (isEmpty(baseString)) {
    7.          return null;
    8.      }
    9.      Mac mac = Mac.getInstance("HmacSHA1");
    10.      SecretKeySpec keySpec = new SecretKeySpec(
    11.              secret.getBytes(CHARSET_UTF8), ALGORITHM);
    12.      mac.init(keySpec);
    13.      return mac.doFinal(baseString.getBytes(CHARSET_UTF8));
    14. }
    15. private static boolean isEmpty(String str) {
    16.     return (str == null || str.length() == 0);
    17. }

    按照 Base64 编码规则编码成字符串,获取签名值。<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1. public static String newStringByBase64(byte[] bytes)
    2.          throws UnsupportedEncodingException {
    3.      if (bytes == null || bytes.length == 0) {
    4.          return null;
    5.      }
    6.      return new String(new BASE64Encoder().encode(bytes));
    7. }
    8. public static String composeStringToSign(Map<String, String> queries) {
    9.      String[] sortedKeys = (String[]) queries.keySet()
    10.              .toArray(new String[0]);
    11.      Arrays.sort(sortedKeys);
    12.      StringBuilder canonicalizedQueryString = new StringBuilder();
    13.      for (String key : sortedKeys) {            canonicalizedQueryString.append("&").append(percentEncode(key))
    14.                  .append("=")
    15.                  .append(percentEncode((String) queries.get(key)));
    16.      }
    17.      StringBuilder stringToSign = new StringBuilder();
    18.      stringToSign.append("GET");
    19.      stringToSign.append("&");
    20.      stringToSign.append(percentEncode("/"));
    21.      stringToSign.append("&");        stringToSign.append(percentEncode(canonicalizedQueryString.toString()
    22.              .substring(1)));
    23.      return stringToSign.toString();
    24. }
    25. public static String percentEncode(String value) {
    26.      try {
    27.          return value == null ? null : URLEncoder
    28.                  .encode(value, CHARSET_UTF8).replace("+", "%20")
    29.                  .replace("*", "%2A").replace("%7E", "~");
    30.      } catch (Exception e) {
    31.      }
    32.      return "";
    33. }
    34. /**
    35.   * get SignatureNonce
    36.   ** */
    37. public static String getUniqueNonce() {
    38.      UUID uuid = UUID.randomUUID();
    39.      return uuid.toString();
    40. }
    41. /**
    42.   * get timestamp
    43.   **/
    44. public static String getISO8601Time() {
    45.      Date nowDate = new Date();
    46.      SimpleDateFormat df = new SimpleDateFormat("yyyy-MM-dd'T'HH:mm:ss'Z'");
    47.      df.setTimeZone(new SimpleTimeZone(0, "GMT"));
    48.      return df.format(nowDate);
    49. }

    添加签名。<divre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1. public static String composeUrl(String endpoint, Map<String, String> queries)
    2.          throws UnsupportedEncodingException {
    3.      Map<String, String> mapQueries = queries;
    4.      StringBuilder urlBuilder = new StringBuilder("");
    5.      urlBuilder.append("http");
    6.      urlBuilder.append("://").append(endpoint);
    7.      if (-1 == urlBuilder.indexOf("?")) {
    8.          urlBuilder.append("/?");
    9.      }
    10.      urlBuilder.append(concatQueryString(mapQueries));
    11.      return urlBuilder.toString();
    12. }
    13. public static String concatQueryString(Map<String, String> parameters)
    14.          throws UnsupportedEncodingException {
    15.      if (null == parameters) {
    16.          return null;
    17.      }
    18.      StringBuilder urlBuilder = new StringBuilder("");
    19.      for (Map.Entry<String, String> entry : parameters.entrySet()) {
    20.          String key = (String) entry.getKey();
    21.          String val = (String) entry.getValue();
    22.          urlBuilder.append(encode(key));
    23.          if (val != null) {
    24.              urlBuilder.append("=").append(encode(val));
    25.          }
    26.          urlBuilder.append("&");
    27.      }
    28.      int strIndex = urlBuilder.length();
    29.      if (parameters.size() > 0) {
    30.          urlBuilder.deleteCharAt(strIndex - 1);
    31.      }
    32.      return urlBuilder.toString();
    33. }
    34. public static String encode(String value)
    35.          throws UnsupportedEncodingException {
    36.      return URLEncoder.encode(value, "UTF-8");
    37. }
    38. }


    API 调用示例



    示例 1

    <pre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1. /*
    2. * Demo_01: Build a immutable signature instance and print out;
    3. * The Signature's toString() function will invoke signature's get() function.
    4. */
    5. out("output: " +
    6.         Signature.newBuilder()
    7.             .method(The.HTTP.GET.method())
    8.             .url(URL)
    9.             .secret(The.API.secret())
    10.             .build()
    11. );


    示例 2

    <pre style='background: rgb(246, 246, 246); font: 12px/1.6 "YaHei Consolas Hybrid", Consolas, "Meiryo UI", "Malgun Gothic", "Segoe UI", "Trebuchet MS", Helvetica, monospace, monospace; margin: 0px 0px 16px; padding: 10px; outline: 0px; border-radius: 3px; border: 1px solid rgb(221, 221, 221); overflow: auto; white-space: pre-wrap; word-wrap: break-word; box-sizing: border-box; font-size-adjust: none; font-stretch: normal;' prettyprinted?="" linenums="">
    1. /*
    2. * Demo_02: Build a real signature and compose a request url to invoke DescribeRegions api call;
    3. */
    4. 对一个真实的 API URL 进行签名
    5. final String ACTION = "DescribeRegions";
    6. final String API_URL = The.API.build(ACTION);
    7. out(httpGet(Signature.newBuilder()
    8.                 .method(The.HTTP.GET.method())
    9.                 .url(API_URL)
    10.                 .secret(The.API.secret())
    11.                 .build()
    12.                 .compose())
    13. );

    为了方便您快速使用签名机制,您可以在 这里 下载完整的示例代码。

    注意:您需要将 ACCESS 和 SECRET 替换为您的 Access Key ID 和 Access Key Secret。

    算法 Java API PHP 开发工具 C# 数据安全/隐私保护 Python
    分享到
    取消 提交回答
    全部回答(0)
    开发与运维
    使用钉钉扫一扫加入圈子
    + 订阅

    集结各类场景实战经验,助你开发运维畅行无忧

    推荐文章
    相似问题
    推荐课程