服务端签名直传

Python

# 配置环境变量ALIBABA_CLOUD_ACCESS_KEY_ID。
accessKeyId = os.environ.get('OSS_ACCESS_KEY_ID')
# 配置环境变量ALIBABA_CLOUD_ACCESS_SECRET。
accessKeySecret = os.environ.get('OSS_ACCESS_KEY_SECRET')
# 配置环境变量OSS_STS_ROLE_ARN
roleArn = os.environ.get('OSS_STS_ROLE_ARN')
# 可以替换为您的Bucket名称。
bucket = 'web-direct-upload'
# 可以替换为您的region_id。
region = 'cn-hangzhou'
# 指定上传到OSS的文件前缀。
upload_dir = 'user-dirs'
# 指定过期时间，单位为秒。
expire_time = 3600

Node.js

const config = {
  // 从环境变量中获取RAM用户的访问密钥和目标RAM角色的Arn.
  accessKeyId: process.env.OSS_ACCESS_KEY_ID,
  accessKeySecret: process.env.OSS_ACCESS_KEY_SECRET,
  roleArn: process.env.OSS_STS_ROLE_ARN,
  // region填写Bucket所在地域。以华东1（杭州）为例，Region填写为oss-cn-hangzhou。
  region: "oss-cn-hangzhou",
  // 指定Bucket名称，可以替换为您的Bucket名称
  bucket: "web-direct-upload",
  upload_dir: "user-dirs",
  seconds: 3600,
};

Java

/**
 * 将 region 替换为 您的地域id，例如 cn-hangzhou
 */
private String region = "cn-hangzhou";
/**
 * 将 your-bucket 替换为 Bucket 名称
 */
private String bucket = "web-direct-upload";
/**
 * 指定上传到 OSS 的文件前缀
 */
private String upload_dir = "user-dirs";
/**
 * 指定过期时间，单位为秒
 */
private long expire_time = 3600;
/**
 * 通过环境变量 ALIBABA_CLOUD_ACCESS_KEY_ID 设置 accessKeyId
 */
private String accessKeyId = System.getenv("OSS_ACCESS_KEY_ID");
/**
 * 通过环境变量 ALIBABA_CLOUD_ACCESS_KEY_SECRET 设置 accessKeySecret
 */
private String accessKeySecret = System.getenv("OSS_ACCESS_KEY_SECRET");

private String roleArn = System.getenv("OSS_STS_ROLE_ARN");

Python

# 初始化配置，直接传递凭据
config = Config(
    region_id=region,
    access_key_id=access_key_id,
    access_key_secret=access_key_secret
)
# 创建STS客户端并获取临时凭证
sts_client = Sts20150401Client(config=config)
assume_role_request = sts_20150401_models.AssumeRoleRequest(
    role_arn=role_arn_for_oss_upload,
    role_session_name=role_session_name
)
response = sts_client.assume_role(assume_role_request)
token_data = response.body.credentials.to_map()

Node.js

/* 使用stsToken上传。 */
let stsToken;
// 获取STS临时凭证
if (roleArn) {
  let sts = new STS({
    accessKeyId,
    accessKeySecret,
  });
  const {
    credentials: { AccessKeyId, AccessKeySecret, SecurityToken },
  } = await sts.assumeRole(roleArn, "", seconds, "sessiontest");
stsToken = SecurityToken;

Java

// 获取STS临时凭证
AssumeRoleRequest assumeRoleRequest = new AssumeRoleRequest()
.setDurationSeconds(3600L)
// 将<YOUR_ROLE_SESSION_NAME>设置为自定义的会话名称，例如 my-website-server。
.setRoleSessionName("<YOUR_ROLE_SESSION_NAME>")
// 将<YOUR_ROLE_ARN>替换为拥有上传文件到指定OSS Bucket权限的RAM角色的ARN，可以在 RAM 角色详情中获得角色 ARN
.setRoleArn(roleArn);

AssumeRoleResponse assumeRoleResponse = acsClient.getAcsResponse(assumeRoleRequest);

String accessKeyId = assumeRoleResponse.getCredentials().getAccessKeyId();
String accessKeySecret = assumeRoleResponse.getCredentials().getAccessKeySecret();
String securityToken = assumeRoleResponse.getCredentials().getSecurityToken();

Python

# 构建Policy
policy = {
    "expiration": generate_expiration(expire_time),
    "conditions": [
        {"x-oss-security-token": security_token},
        ["eq", "$success_action_status", "200"],
        ["starts-with", "$key", upload_dir],
    ]
}

Node.js

const date = new Date();
date.setSeconds(date.getSeconds() + seconds);
const dir = "user-dirs/";
const policy = {
  expiration: date.toISOString(), // 请求有效期。
  conditions: [
    {"x-oss-security-token": stsToken},
    ["content-length-range", 0, 1048576000], // 设置上传文件的大小限制。
    ["starts-with", "$key", dir] // 限制文件只能上传到user-dirs目录下。  
  ],
};

Java

// 请求有效期。
long expireEndTime = System.currentTimeMillis() + ossConfig.getExpireTime() * 1000;
Date expiration = new Date(expireEndTime);
PolicyConditions policyConds = new PolicyConditions();
// 设置上传文件的大小限制。
policyConds.addConditionItem(PolicyConditions.COND_CONTENT_LENGTH_RANGE, 0, 1048576000);
// 表单域的值必须以指定前缀开始。
policyConds.addConditionItem(MatchMode.StartWith, PolicyConditions.COND_KEY, ossConfig.getDir());
String policy = ossClient.generatePostPolicy(expiration, policyConds);

Python

对于Python，需要先自定义生成签名的函数，您可以参照以下方法构建。

def generate_signature(access_key_secret, expiration, conditions, policy_extra_props=None):
    """
    生成签名字符串Signature。
    :param access_key_secret: 有权限访问目标Bucket的AccessKeySecret。
    :param expiration: 签名过期时间，按照ISO8601标准表示，并需要使用UTC时间，格式为yyyy-MM-ddTHH:mm:ssZ。示例值："2014-12-01T12:00:00.000Z"。
    :param conditions: 策略条件，用于限制上传表单时允许设置的值。
    :param policy_extra_props: 额外的policy参数，后续如果policy新增参数支持，可以在通过dict传入额外的参数。
    :return: signature，签名字符串。
    """
    policy_dict = {
        'expiration': expiration,
        'conditions': conditions
    }
    if policy_extra_props is not None:
        policy_dict.update(policy_extra_props)
    
    policy = json.dumps(policy_dict).strip()
    policy_encode = base64.b64encode(policy.encode())  
    h = hmac.new(access_key_secret.encode(), policy_encode, sha)
    sign_result = base64.b64encode(h.digest()).strip()
    return sign_result.decode()

生成签名：

signature = generate_signature(temp_access_key_secret, policy.get('expiration'), policy.get('conditions'))

Node.js

const formData = await client.calculatePostSignature(policy);

Java

String postPolicy = ossClient.generatePostPolicy(expiration, policyConds);
byte[] binaryData = postPolicy.getBytes("utf-8");
String encodedPolicy = BinaryUtil.toBase64String(binaryData);
String postSignature = ossClient.calculatePostSignature(postPolicy);

Python

response_data  = {
  'dir': upload_dir,
  'host': host,
  'ossAccessKeyId': temp_access_key_id,
  'stsToken': security_token
  'policy': base64.b64encode(json.dumps(policy).encode('utf-8')).decode(),
  'signature': signature
};

Node.js

const params = {
  policy: formData.policy,
  signature: formData.Signature,
  accessid: formData.OSSAccessKeyId,
  stsToken,
  host: `http://${bucket}.${region}.aliyuncs.com`,
  dir,
};

Java

response.put("dir", ossConfig.getDir());
response.put("host", ossConfig.getHost());
response.put("ossAccessKeyId", accessKeyId);
response.put("stsToken", stsToken);
response.put("policy", encodedPolicy);
response.put("signature", postSignature);