hmac-auth插件

流程简介

客户端生成签名共分三步处理。

1. 从原始请求中提取关键数据，得到一个用来签名的字符串。

2. 使用加密算法和配置的secret对关键数据签名串进行加密处理，得到签名。

3. 将签名所相关的所有头加入到原始HTTP请求中，得到最终HTTP请求。

签名串提取流程

客户端需要从HTTP请求中提取出关键数据，组合成一个签名串，生成的签名串的格式如下。

HTTPMethod
Accept
Content-MD5
Content-Type
Date
Headers
PathAndParameters

签名串提取示例

初始的HTTP请求。

POST /http2test/test?param1=test HTTP/1.1
host:api.aliyun.com
accept:application/json; charset=utf-8
ca_version:1
content-type:application/x-www-form-urlencoded; charset=utf-8
x-ca-timestamp:1525872629832
date:Wed, 09 May 2018 13:30:29 GMT+00:00
user-agent:ALIYUN-ANDROID-DEMO
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
content-length:33
username=xiaoming&password=123456789

生成的正确签名串。

POST
application/json; charset=utf-8
application/x-www-form-urlencoded; charset=utf-8
Wed, 09 May 2018 13:30:29 GMT+00:00
x-ca-key:203753385
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
x-ca-signature-method:HmacSHA256
x-ca-timestamp:1525872629832
/http2test/test?param1=test&password=123456789&username=xiaoming

签名计算流程

客户端从HTTP请求中提取出关键数据组装成签名串后，需要对签名串进行加密及编码处理，形成最终的签名。

具体的加密形式如下，其中stringToSign是提取出来的签名串，secret是插件配置中填写的，sign是最终生成的签名。

Mac hmacSha256 = Mac.getInstance("HmacSHA256");
byte[] secretBytes = secret.getBytes("UTF-8");
hmacSha256.init(new SecretKeySpec(secretBytes, 0, secretBytes.length, "HmacSHA256"));
byte[] result = hmacSha256.doFinal(stringToSign.getBytes("UTF-8"));
String sign = Base64.encodeBase64String(result);

将stringToSign使用UTF-8解码后得到Byte数组，然后使用加密算法对Byte数组进行加密，然后使用Base64算法进行编码，形成最终的签名。

添加签名流程

客户端需要将以下四个Header放在HTTP请求中传输给API网关，进行签名校验。

• x-ca-key：取值APP Key。必选。

• x-ca-signature-method：签名算法。取值HmacSHA256或者HmacSHA1，可选，默认值为HmacSHA256。

• x-ca-signature-headers：所有签名头的Key的集合。使用英文逗号分隔，可选。

• x-ca-signature：签名。必选。

下面是携带签名的整个HTTP请求的示例。

POST /http2test/test?param1=test HTTP/1.1
host:api.aliyun.com
accept:application/json; charset=utf-8
ca_version:1
content-type:application/x-www-form-urlencoded; charset=utf-8
x-ca-timestamp:1525872629832
date:Wed, 09 May 2018 13:30:29 GMT+00:00
user-agent:ALIYUN-ANDROID-DEMO
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
x-ca-key:203753385
x-ca-signature-method:HmacSHA256
x-ca-signature-headers:x-ca-timestamp,x-ca-key,x-ca-nonce,x-ca-signature-method
x-ca-signature:xfX+bZxY2yl7EB/qdoDy9v/uscw3Nnj1pgoU+Bm6xdM=
content-length:33
username=xiaoming&password=123456789

流程简介

服务器验证客户端签名一共分四步处理。

1. 从接收到的请求中提取关键数据，得到一个用来签名的字符串。

2. 从接收到的请求中读取key，通过key查询到对应的secret。

3. 使用加密算法和secret对关键数据签名串进行加密处理，得到签名。

4. 从接收到的请求中读取客户端签名，对比服务器端签名和客户端签名的一致性。

签名排错方法

网关签名校验失败时，会将服务端的签名串（StringToSign）放到HTTP Response的Header中返回到客户端，Key为：X-Ca-Error-Message，您只需要将本地计算的签名串（StringToSign）与服务端返回的签名串进行对比即可找到问题。

如果服务端与客户端的StringToSign一致请检查用于签名计算的APP Secret是否正确。

因为HTTP Header中无法表示换行，因此StringToSign中的换行符都被替换成#，如下所示。

X-Ca-Error-Message:  Server StringToSign:`GET#application/json##application/json##X-Ca-Key:200000#X-Ca-Timestamp:1589458000000#/app/v1/config/keys?keys=TEST`