号码隐私保护的请求签名有哪些？

对于每一次HTTP或者HTTPS协议请求，我们会根据访问中的签名信息验证访问请求者身份。具体由使用AccessKeyID和AccessKeySecret对称加密验证实现。其中AccessKeyID是访问者身份，AccessKeySecret是加密签名字符串和服务器端验证签名字符串的密钥，必须严格保密谨防泄露。 1. 指定请求参数 在代码中指定请求参数，参数中需要包含公共请求头和接口必备的参数信息。

说明 请求参数中不允许出现以Signature为key的参数。 示例代码如下：

String accessKeyId = "testId"; String accessSecret = "testSecret"; java.text.SimpleDateFormat df = new java.text.SimpleDateFormat("yyyy-MM-dd'T'HH:mm:ss'Z'"); df.setTimeZone(new java.util.SimpleTimeZone(0, "GMT"));// 这里一定要设置GMT时区 java.util.Map<String, String> paras = new java.util.HashMap<String, String>(); 指定参数：

paras.put("SignatureMethod", "HMAC-SHA1"); paras.put("SignatureNonce", java.util.UUID.randomUUID().toString()); paras.put("AccessKeyId", accessKeyId); paras.put("SignatureVersion", "1.0"); paras.put("Timestamp", df.format(new java.util.Date())); paras.put("Format", "XML"); paras.put("Action", "BindAxb"); paras.put("Version", "2017-05-25"); paras.put("RegionId", "cn-hangzhou"); paras.put("PoolKey", "FC123456"); paras.put("PhoneNoA", "1700000000"); paras.put("PhoneNoB", "1700000000"); paras.put("Expiration", "2017-05-25 00:00:00"); paras.put("OutId", "123"); 去除签名关键字Key：

if (paras.containsKey("Signature")) paras.remove("Signature"); 2. 根据参数Key排序（顺序） 参考代码如下：

java.util.TreeMap<String, String> sortParas = new java.util.TreeMap<String, String>(); sortParas.putAll(paras); 3. 构造待签名的请求串 首先介绍下面会用到的特殊URL编码这个是POP特殊的一种规则，即在一般的URLEncode后再增加三种字符替换：加号 （+）替换成 %20、星号 （*）替换成 %2A、 %7E 替换回波浪号 （~）参考代码如下：

public static String specialUrlEncode(String value) throws Exception { return java.net.URLEncoder.encode(value, "UTF-8").replace("+", "%20").replace("*", "%2A").replace("%7E", "~"); } 构造待签名的请求串： 把排序后的参数顺序拼接成如下格式：

• specialUrlEncode(参数Key) + "=" + specialUrlEncode(参数值) 参考代码如下：

java.util.Iterator it = sortParas.keySet().iterator(); StringBuilder sortQueryStringTmp = new StringBuilder(); while (it.hasNext()) { String key = it.next(); sortQueryStringTmp.append("&").append(specialUrlEncode(key)).append("=").append(specialUrlEncode(paras.get(key))); } String sortedQueryString = sortQueryStringTmp.substring(1);// 去除第一个多余的&符号 打印上面的 sortQueryString。结果如下：

AccessKeyId=testId&Action=BindAxb&Format=XML&OutId=123&RegionId=cn-hangzhou&SignatureMethod=HMAC-SHA1&SignatureNonce=45e25e9b-0a6f-4070-8c85-2956eda1b466&SignatureVersion=1.0&PoolKey=FC123456&PhoneNoA=170000000&PhoneNoB=17100000000&Expiration=2017-07-12T02%3A42%3A19Z&Timestamp=2017-07-12T02%3A42%3A19Z&Version=2017-05-25` 对应的未URL编码的值（方便用户对比）：

AccessKeyId=testId&Action=SendSms&Format=XML&OutId=123&PhoneNumbers=15300000001&RegionId=cn-hangzhou&SignName=阿里云短信测试专用&SignatureMethod=HMAC-SHA1&SignatureNonce=45e25e9b-0a6f-4070-8c85-2956eda1b466&SignatureVersion=1.0&TemplateCode=SMS_71390007&TemplateParam={"customer":"test"}&Timestamp=2017-07-12T02:42:19Z&Version=2017-05-25 按POP的签名规则拼接成最终的待签名串。 规则如下：

• HTTPMethod + “&” + specialUrlEncode(“/”) + ”&” + specialUrlEncode(sortedQueryString) 参考代码如下：

StringBuilder stringToSign = new StringBuilder(); stringToSign.append("GET").append("&"); stringToSign.append(specialUrlEncode("/")).append("&"); stringToSign.append(specialUrlEncode(sortedQueryString)); 这就完成了待签名的请求字符串。打印结果如下：

GET&%2F&AccessKeyId%3DtestId&Action%BindAxb&Format%3DXML&OutId%3D123&PhoneNoA%3D17000000000&RegionId%3Dcn-hangzhou&PhoneNob%3D171000000000&SignatureMethod%3DHMAC-SHA1&SignatureNonce%3D45e25e9b-0a6f-4070-8c85-2956eda1b466&SignatureVersion%3D1.0&PoolKey%3DFC123456&Expiration%3D2017-07-12T02%253A42%253A19Z&Timestamp%3D2017-07-12T02%253A42%253A19Z&Version%3D2017-05-25` 4. 签名 签名采用HmacSHA1算法 + Base64，编码采用UTF-8。参考代码如下：

String sign = sign(accessSecret + "&", stringToSign.toString()); public static String sign(String accessSecret, String stringToSign) throws Exception { javax.crypto.Mac mac = javax.crypto.Mac.getInstance("HmacSHA1"); mac.init(new javax.crypto.spec.SecretKeySpec(accessSecret.getBytes("UTF-8"), "HmacSHA1")); byte[] signData = mac.doFinal(stringToSign.getBytes("UTF-8")); return new sun.misc.BASE64Encoder().encode(signData); } 参数说明： accessSecret：你的AccessKeyId对应的秘钥AccessSecret，特别说明：POP要求需要后面多加一个“&”字符，即accessSecret + “&”。 stringToSign：即第三步生成的待签名请求串。 签名后的结果打印如下：

zJDF+Lrzhj/ThnlvIToysFRq6t4= 5. 增加签名结果到请求参数中，发送请求

说明 签名也要做特殊URL编码。

String Signature = specialUrlEncode(sign);// zJDF%2BLrzhj%2FThnlvIToysFRq6t4%3D 最终完整的GET请求HTTP为：

https://dyplsapi.aliyuncs.com/?AccessKeyId=TMP.AQF0OBbrimInaGb2KfSQv1P8Pkn-Lb42nzU2BhznSVfLMid2PONQYrmMCKlmAAAwLAIUUY77CZGRTjNEl8Sjkf3JHa1epjACFCjQhIMENak7MzJ0tE_aDe0x6Jln&Action=BindAxb&Expiration=2019-09-05%2012%3A00%3A00&Format=JSON&PhoneNoA=15951955192&PhoneNoB=13500000000&SecureTransport=true&SignatureMethod=HMAC-SHA1&SignatureNonce=f47d2107663beeedb84284697babfaaf&SignatureVersion=1.0&SourceIp=42.120.75.150&Timestamp=2019-03-01T07%3A24%3A36Z&Version=2017-05-25&Signature=jrS5Hh4NDSsLIod2809ofkuk%2F98%3D JAVA示例 完整的Java签名Demo代码：

说明 以短信服务SendSms接口为列进行说明，业务参数请自行替换成隐私保护绑定接口参数即可。

public class SignDemo { public static void main(String[] args) throws Exception { String accessKeyId = "testId"; String accessSecret = "testSecret"; java.text.SimpleDateFormat df = new java.text.SimpleDateFormat("yyyy-MM-dd'T'HH:mm:ss'Z'"); df.setTimeZone(new java.util.SimpleTimeZone(0, "GMT"));// 这里一定要设置GMT时区 java.util.Map<String, String> paras = new java.util.HashMap<String, String>(); // 1. 系统参数 paras.put("SignatureMethod", "HMAC-SHA1"); paras.put("SignatureNonce", java.util.UUID.randomUUID().toString()); paras.put("AccessKeyId", accessKeyId); paras.put("SignatureVersion", "1.0"); paras.put("Timestamp", df.format(new java.util.Date())); paras.put("Format", "XML"); // 2. 业务API参数 paras.put("Action", "SendSms"); paras.put("Version", "2017-05-25"); paras.put("RegionId", "cn-hangzhou"); paras.put("PhoneNumbers", "15300000001"); paras.put("SignName", "阿里云短信测试专用"); paras.put("TemplateParam", "{"customer":"test"}"); paras.put("TemplateCode", "SMS_71390007"); paras.put("OutId", "123"); // 3. 去除签名关键字Key if (paras.containsKey("Signature")) paras.remove("Signature"); // 4. 参数KEY排序 java.util.TreeMap<String, String> sortParas = new java.util.TreeMap<String, String>(); sortParas.putAll(paras); // 5. 构造待签名的字符串 java.util.Iterator it = sortParas.keySet().iterator(); StringBuilder sortQueryStringTmp = new StringBuilder(); while (it.hasNext()) { String key = it.next(); sortQueryStringTmp.append("&").append(specialUrlEncode(key)).append("=").append(specialUrlEncode(paras.get(key))); } String sortedQueryString = sortQueryStringTmp.substring(1);// 去除第一个多余的&符号 StringBuilder stringToSign = new StringBuilder(); stringToSign.append("GET").append("&"); stringToSign.append(specialUrlEncode("/")).append("&"); stringToSign.append(specialUrlEncode(sortedQueryString)); String sign = sign(accessSecret + "&", stringToSign.toString()); // 6. 签名最后也要做特殊URL编码 String signature = specialUrlEncode(sign); System.out.println(paras.get("SignatureNonce")); System.out.println("\r\n=========\r\n"); System.out.println(paras.get("Timestamp")); System.out.println("\r\n=========\r\n"); System.out.println(sortedQueryString); System.out.println("\r\n=========\r\n"); System.out.println(stringToSign.toString()); System.out.println("\r\n=========\r\n"); System.out.println(sign); System.out.println("\r\n=========\r\n"); System.out.println(signature); System.out.println("\r\n=========\r\n"); // 最终打印出合法GET请求的URL System.out.println("http://dysmsapi.aliyuncs.com/?Signature=" + signature + sortQueryStringTmp); } public static String specialUrlEncode(String value) throws Exception { return java.net.URLEncoder.encode(value, "UTF-8").replace("+", "%20").replace("*", "%2A").replace("%7E", "~"); } public static String sign(String accessSecret, String stringToSign) throws Exception { javax.crypto.Mac mac = javax.crypto.Mac.getInstance("HmacSHA1"); mac.init(new javax.crypto.spec.SecretKeySpec(accessSecret.getBytes("UTF-8"), "HmacSHA1")); byte[] signData = mac.doFinal(stringToSign.getBytes("UTF-8")); return new sun.misc.BASE64Encoder().encode(signData); } }