全部产品
存储与CDN 数据库 安全 应用服务 数加·人工智能 数加·大数据基础服务 互联网中间件 视频服务 开发者工具 解决方案 物联网 钉钉智能硬件
消息服务

API 签名机制

更新时间:2017-06-09 20:40:44

阿里云产品服务会对每个访问请求进行身份验证,所以无论您使用 HTTP 还是 HTTPS 协议提交请求,都需要在请求中包含签名(Signature)信息。

签名需要您在控制台 Access Key 管理 页面获得 Access Key ID 和 Access Key Secret,进行对称加密来验证请求的发送者身份。其中,Access Key ID 用于标识访问者身份;Access Key Secret 是用于加密签名字符串和服务器端验证签名字符串的密钥,必须严格保密。

注意:阿里云提供了 PythonJavaPHPC# 等语言的 SDK 及第三方 SDK,可以免去您对签名算法进行编码的麻烦。您可以从 这里 了解更多阿里云 SDK 的信息。

签名操作

您在访问时,需要按照下面的方法对请求进行签名处理。

  1. 构造规范化的请求字符串(Canonicalized Query String)。

    1. 按参数名进行排序。

      按照参数名称的字典顺序对请求中所有的请求参数进行排序,包括“公共请求参数”(不包括 Signature 参数)和接口的自定义参数。

      注意:当使用 GET 方法提交请求时,这些参数就是请求 URI 中的参数部分(即 URI 中“?”之后由“&”连接的部分)。

    2. 对参数名称和参数值进行 URL 编码。

      名称和值要使用 UTF-8 字符集进行 URL 编码。URL 编码的规则如下:

      • 字符 A~Z、a~z、0~9 以及字符“-”、“_”、“.”、“~”不编码;
      • 其它字符编码成 %XY 的格式,其中 XY 是字符对应 ASCII 码的 16 进制表示。比如英文的双引号(”)对应的编码为 %22
      • 对于扩展的 UTF-8 字符,编码成 %XY%ZA… 的格式;
      • 英文空格( )要编码成 %20,而不是加号(+)。

      注意:一般支持URL编码的库(比如 Java 中的 java.net.URLEncoder)都是按照 “application/x-www-form-urlencoded”的 MIME 类型的规则进行编码的。实现时可以直接使用这类方式进行编码,把编码后的字符串中加号(+)替换成 %20、星号(*)替换成 %2A%7E 替换回波浪号(~),即可得到上述规则描述的编码字符串。

    3. 对编码后的参数名称和值使用英文等号(=)进行连接。

    4. 按参数名称的字典顺序,把英文等号连接得到字符串依次使用 & 符号连接,即得到规范化请求字符串。

  2. 构造被签名字符串。

    基于步骤 1 得到的规范化字符串构造用于计算签名的字符串,可参考如下规则:

    1. StringToSign=
    2. HTTPMethod + “&” +
    3. percentEncode(“/”) + ”&” +
    4. percentEncode(CanonicalizedQueryString)

    其中:

    • HTTPMethod 是提交请求用的 HTTP 方法,比如 GET。
    • percentEncode(“/”) 是按照步骤 1.i 中描述的 URL 编码规则对字符 “/” 进行编码得到的值,即 %2F
    • percentEncode(CanonicalizedQueryString) 是对步骤 1 中构造的规范化请求字符串按步骤 1.ii 中描述的 URL 编码规则编码后得到的字符串。
  3. 计算 HMAC 值。

    按照 RFC2104 的定义,使用步骤 2 得到的字符串计算签名 HMAC 值。

    注意:计算签名时使用的 Key 就是您持有的 Access Key Secret 并加上一个 “&” 字符(ASCII:38),使用的哈希算法是 SHA1。

  4. 计算签名值。

    按照 Base64 编码规则 把步骤 3 中的 HMAC 值编码成字符串,即得到签名值(Signature)。

  5. 添加签名。

    将得到的签名值作为 Signature 参数添加到请求参数中,即完成对请求签名的过程。

    注意:得到的签名值在作为最后的请求参数值提交给服务器时,要和其它参数一样,按照 RFC3986 的规则进行 URL 编码。

示例

以 DescribeRegions 为例,假设使用的 Access Key IdtestidAccess Key Secrettestsecret。 那么签名前的请求 URL 为:

  1. http://ecs.aliyuncs.com/?TimeStamp=2016-02-23T12:46:24Z&Format=XML&AccessKeyId=testid&Action=DescribeRegions&SignatureMethod=HMAC-SHA1&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&SignatureVersion=1.0

计算得到的待签名字符串 StringToSign 为:

  1. GET&%2F&AccessKeyId%3Dtestid&Action%3DDescribeRegions&Format%3DXML&SignatureMethod%3DHMAC-SHA1&SignatureNonce%3D3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&SignatureVersion%3D1.0&TimeStamp%3D2016-02-23T12%253A46%253A24Z&Version%3D2014-05-26

因为 Access Key Secrettestsecret,所以用于计算 HMAC 的 Key 为 testsecret&,计算得到的签名值为:

  1. CT9X0VtwR86fNWSnsc6v8YGOjuE=

将签名作为 Signature 参数加入到 URL 请求中,最后得到的 URL 为:

  1. http://ecs.aliyuncs.com/?SignatureVersion=1.0&Action=DescribeRegions&Format=XML&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&AccessKeyId=testid&Signature=CT9X0VtwR86fNWSnsc6v8YGOjuE%3D&SignatureMethod=HMAC-SHA1&TimeStamp=2016-02-23T12%3A46%3A24Z

Java 示例代码

本示例不需要依赖第三方的库包,可以直接使用。签名步骤如下所示。

  1. 构造规范化的请求字符串(排序及 URL 编码)。

    1. public static Map<String, String> splitQueryString(String url)
    2. throws URISyntaxException, UnsupportedEncodingException {
    3. URI uri = new URI(url);
    4. String query = uri.getQuery();
    5. final String[] pairs = query.split("&");
    6. TreeMap<String, String> queryMap = new TreeMap<String, String>();
    7. for (String pair : pairs) {
    8. final int idx = pair.indexOf("=");
    9. final String key = idx > 0 ? pair.substring(0, idx) : pair;
    10. if (!queryMap.containsKey(key)) {
    11. queryMap.put(key, URLDecoder.decode(pair.substring(idx + 1),
    12. CHARSET_UTF8));
    13. }
    14. }
    15. return queryMap;
    16. }
    17. /** 对参数名称和参数值进行URL编码**/
    18. public static String generate(String method, Map<String, String> parameter,
    19. String accessKeySecret) throws Exception {
    20. String signString = generateSignString(method, parameter);
    21. System.out.println("signString---" + signString);
    22. byte[] signBytes = hmacSHA1Signature(accessKeySecret + "&", signString);
    23. String signature = newStringByBase64(signBytes);
    24. System.out.println("signature---" + signature);
    25. if ("POST".equals(method))
    26. return signature;
    27. return URLEncoder.encode(signature, "UTF-8");
    28. }
  2. 构造成待签名的字符串。

    1. public static String generateSignString(String httpMethod,
    2. Map<String, String> parameter) throws IOException {
    3. TreeMap<String, String> sortParameter = new TreeMap<String, String>();
    4. sortParameter.putAll(parameter);
    5. String canonicalizedQueryString = UrlUtil.generateQueryString(
    6. sortParameter, true);
    7. if (null == httpMethod) {
    8. throw new RuntimeException("httpMethod can not be empty");
    9. }
    10. /** 构造待签名的字符串* */
    11. StringBuilder stringToSign = new StringBuilder();
    12. stringToSign.append(httpMethod).append(SEPARATOR);
    13. stringToSign.append(percentEncode("/")).append(SEPARATOR);
    14. stringToSign.append(percentEncode(canonicalizedQueryString));
    15. return stringToSign.toString();
    16. }
  3. 计算待签名字符串的 HMAC 值。

    1. public static byte[] hmacSHA1Signature(String secret, String baseString)
    2. throws Exception {
    3. if (isEmpty(secret)) {
    4. throw new IOException("secret can not be empty");
    5. }
    6. if (isEmpty(baseString)) {
    7. return null;
    8. }
    9. Mac mac = Mac.getInstance("HmacSHA1");
    10. SecretKeySpec keySpec = new SecretKeySpec(
    11. secret.getBytes(CHARSET_UTF8), ALGORITHM);
    12. mac.init(keySpec);
    13. return mac.doFinal(baseString.getBytes(CHARSET_UTF8));
    14. }
    15. private static boolean isEmpty(String str) {
    16. return (str == null || str.length() == 0);
    17. }
  4. 按照 Base64 编码规则编码成字符串,获取签名值。

    1. public static String newStringByBase64(byte[] bytes)
    2. throws UnsupportedEncodingException {
    3. if (bytes == null || bytes.length == 0) {
    4. return null;
    5. }
    6. return new String(new BASE64Encoder().encode(bytes));
    7. }
    8. public static String composeStringToSign(Map<String, String> queries) {
    9. String[] sortedKeys = (String[]) queries.keySet()
    10. .toArray(new String[0]);
    11. Arrays.sort(sortedKeys);
    12. StringBuilder canonicalizedQueryString = new StringBuilder();
    13. for (String key : sortedKeys) { canonicalizedQueryString.append("&").append(percentEncode(key))
    14. .append("=")
    15. .append(percentEncode((String) queries.get(key)));
    16. }
    17. StringBuilder stringToSign = new StringBuilder();
    18. stringToSign.append("GET");
    19. stringToSign.append("&");
    20. stringToSign.append(percentEncode("/"));
    21. stringToSign.append("&"); stringToSign.append(percentEncode(canonicalizedQueryString.toString()
    22. .substring(1)));
    23. return stringToSign.toString();
    24. }
    25. public static String percentEncode(String value) {
    26. try {
    27. return value == null ? null : URLEncoder
    28. .encode(value, CHARSET_UTF8).replace("+", "%20")
    29. .replace("*", "%2A").replace("%7E", "~");
    30. } catch (Exception e) {
    31. }
    32. return "";
    33. }
    34. /**
    35. * get SignatureNonce
    36. ** */
    37. public static String getUniqueNonce() {
    38. UUID uuid = UUID.randomUUID();
    39. return uuid.toString();
    40. }
    41. /**
    42. * get timestamp
    43. **/
    44. public static String getISO8601Time() {
    45. Date nowDate = new Date();
    46. SimpleDateFormat df = new SimpleDateFormat("yyyy-MM-dd'T'HH:mm:ss'Z'");
    47. df.setTimeZone(new SimpleTimeZone(0, "GMT"));
    48. return df.format(nowDate);
    49. }
  5. 添加签名。

    1. public static String composeUrl(String endpoint, Map<String, String> queries)
    2. throws UnsupportedEncodingException {
    3. Map<String, String> mapQueries = queries;
    4. StringBuilder urlBuilder = new StringBuilder("");
    5. urlBuilder.append("http");
    6. urlBuilder.append("://").append(endpoint);
    7. if (-1 == urlBuilder.indexOf("?")) {
    8. urlBuilder.append("/?");
    9. }
    10. urlBuilder.append(concatQueryString(mapQueries));
    11. return urlBuilder.toString();
    12. }
    13. public static String concatQueryString(Map<String, String> parameters)
    14. throws UnsupportedEncodingException {
    15. if (null == parameters) {
    16. return null;
    17. }
    18. StringBuilder urlBuilder = new StringBuilder("");
    19. for (Map.Entry<String, String> entry : parameters.entrySet()) {
    20. String key = (String) entry.getKey();
    21. String val = (String) entry.getValue();
    22. urlBuilder.append(encode(key));
    23. if (val != null) {
    24. urlBuilder.append("=").append(encode(val));
    25. }
    26. urlBuilder.append("&");
    27. }
    28. int strIndex = urlBuilder.length();
    29. if (parameters.size() > 0) {
    30. urlBuilder.deleteCharAt(strIndex - 1);
    31. }
    32. return urlBuilder.toString();
    33. }
    34. public static String encode(String value)
    35. throws UnsupportedEncodingException {
    36. return URLEncoder.encode(value, "UTF-8");
    37. }
    38. }

API 调用示例

示例 1

  1. /*
  2. * Demo_01: Build a immutable signature instance and print out;
  3. * The Signature's toString() function will invoke signature's get() function.
  4. */
  5. out("output: " +
  6. Signature.newBuilder()
  7. .method(The.HTTP.GET.method())
  8. .url(URL)
  9. .secret(The.API.secret())
  10. .build()
  11. );

示例 2

  1. /*
  2. * Demo_02: Build a real signature and compose a request url to invoke DescribeRegions api call;
  3. */
  4. 对一个真实的 API URL 进行签名
  5. final String ACTION = "DescribeRegions";
  6. final String API_URL = The.API.build(ACTION);
  7. out(httpGet(Signature.newBuilder()
  8. .method(The.HTTP.GET.method())
  9. .url(API_URL)
  10. .secret(The.API.secret())
  11. .build()
  12. .compose())
  13. );

为了方便您快速使用签名机制,您可以在 这里 下载完整的示例代码。

注意:您需要将 ACCESS 和 SECRET 替换为您的 Access Key ID 和 Access Key Secret。

本文导读目录