当您通过阿里云SDK调用OpenAPI进行资源操作时，必须正确配置凭证信息。阿里云的Credentials工具提供了一套强大的功能，使您能够轻松地获取和管理这些访问凭证。无论是利用默认凭证，AccessKey（AK），还是安全令牌服务（STS）令牌等，Credentials工具都能为您提供相应支持。此外，本文档将详细阐述如何根据优先级使用默认凭证。您将深入理解如何在阿里云SDK中配置和维护凭证，从而确保您对云资源的操作既有效率又具有高度安全性。
背景信息
凭据是指用户证明其身份的一组信息。用户在系统中进行登录时，需要提供正确的凭据才能验证身份。常见的凭据类型有：
阿里云主账号和RAM用户的永久凭据 AccessKey（简称AK）是由AccessKey ID和AccessKey Secret组成的密钥对。
阿里云RAM角色的STS临时访问Token，简称STS Token。它是可以自定义时效和访问权限的临时身份凭据，详情请参见什么是STS。
Bearer Token。它是一种身份验证和授权的令牌类型。
前提条件
安装Credentials工具
如果已在系统上全局安装 Composer，请直接在项目目录中运行以下内容来安装 Alibaba Cloud Credentials for PHP 作为依赖项：
composer require alibabacloud/credentials
使用最新发布Credentials依赖包，确保所有凭证支持。
请查看CHANGELOG.md获取所有已发布的版本列表。
初始化凭据客户端
Credentials工具支持多种方式初始化凭据客户端，您可根据实际情况选择合适的方式进行凭据客户端初始化。
重要 在项目中使用明文AccessKey，容易因代码仓库权限管理不当造成AccessKey泄露，会威胁该账号下所有资源的安全。建议通过环境变量、配置文件等方式获取AccessKey。
方式一：使用默认凭据链
当您在初始化凭据客户端不传入任何参数时，Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链。
<?php
use AlibabaCloud\Credentials\Credential;
// 不指定参数
$credential = new Credential([]);
$credential->getAccessKeyId();
$credential->getAccessKeySecret();
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。
<?php
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use Darabonba\OpenApi\Models\Config;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
// 使用默认凭证初始化Credentials Client。
$credentialClient = new Credential([]);
$ecsConfig = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);
方式二：使用AK
阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。
警告 阿里云主账号拥有资源的全部权限，AK一旦泄露，会给系统带来巨大风险，不建议使用。
推荐使用最小化授权的RAM用户的AK。
<?php
use AlibabaCloud\Credentials\Credential;
$ak = new Credential([
'type' => 'access_key',
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
]);
$ak->getAccessKeyId();
$ak->getAccessKeySecret();
接口调用方法
通过Credentials工具读取AK，完成云产品OpenAPI接口的调用。
本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。
<?php
namespace AlibabaCloud\SDK\Sample;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use Darabonba\OpenApi\Models\Config;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
// 使用AK 初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'access_key',
// 从环境变量中获取AccessKey ID的值
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
// 从环境变量中获取AccessKey Secret的值
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET')
]);
$ecsConfig = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);
方式三：使用STS Token
以一个RAM用户的身份调用STS服务的AssumeRole接口，设置Token的最大过期时间，即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端（不包含如何获取到STS Token的过程）。
<?php
use AlibabaCloud\Credentials\Credential;
$sts = new Credential([
'type' => 'sts',
// 从环境变量中获取AccessKey ID的值
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
// 从环境变量中获取AccessKey Secret的值
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
// 从环境变量中获取STS Token的值
'security_token' => getenv('ALIBABA_CLOUD_SECURITY_TOKEN'),
]);
$sts->getAccessKeyId();
$sts->getAccessKeySecret();
$sts->getSecurityToken();
接口调用方法
通过Credentials工具读取临时安全令牌（STS Token），完成云产品OpenAPI接口的调用。
本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK和STS SDK。
<?php
namespace AlibabaCloud\SDK\Sample;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\Credentials\Credential\Config as CredentialConfig;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;
use AlibabaCloud\SDK\Sts\V20150401\Models\AssumeRoleRequest;
use AlibabaCloud\SDK\Sts\V20150401\Sts;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use Darabonba\OpenApi\Models\Config;
// 创建STS Client，并调用assumeRole方法获取临时凭证。
$config = new Config([
// 从环境变量获取AccessKeyId、AccessKeySecret，如果未设置，请设置后运行。
'accessKeyId' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
'accessKeySecret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
'regionId' => 'cn-hangzhou',
]);
$stsClient = new Sts($config);
$request = new AssumeRoleRequest([
// 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole，可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置roleArn
'roleArn' => '<RoleArn>',
// 角色会话名称，可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置roleSessionName
'roleSessionName' => '<RoleSessionName>',
]);
$assumeRoleResp = $stsClient->assumeRole($request);
$assumeRoleCredentials = $assumeRoleResp->body->credentials;
// 使用STS Token初始化Credentials Client。
$credentialConfig = new CredentialConfig([
// 凭证类型。
'type' => 'sts',
'access_key_id' => $assumeRoleCredentials->accessKeyId,
'access_key_secret' => $assumeRoleCredentials->accessKeySecret,
'security_token' => $assumeRoleCredentials->securityToken,
]);
$credentialClient = new Credential($credentialConfig);
$ecsConfig = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ecs.aliyuncs.com'
]);// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);// 输出状态码
echo $resp->statusCode;// 输出响应
var_dump($resp);
方式四：使用AK及RamRoleArn
该方式底层实现是STS Token。通过指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为policy赋值来限制RAM角色到一个更小的权限集合。
<?php
use AlibabaCloud\Credentials\Credential;
$ramRoleArn = new Credential([
'type' => 'ram_role_arn',
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
// 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole，可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
'role_arn' => '<RoleArn>',
// 角色会话名称，可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
'role_session_name' => '<RoleSessionName>',
// 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
'policy' => '<Policy>',
]);
$ramRoleArn->getAccessKeyId();
$ramRoleArn->getAccessKeySecret();
$ramRoleArn->getRoleArn();
$ramRoleArn->getRoleSessionName();
$ramRoleArn->getPolicy();
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。
<?php
namespace AlibabaCloud\SDK\Sample;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use Darabonba\OpenApi\Models\Config;
// 使用AK和RamRoleArn初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'ram_role_arn',
// 从环境变量中获取AccessKey ID值。
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
// 从环境变量中获取AccessKey Secret值。
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
// 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole，可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
'role_arn' => '<RoleArn>',
// 角色会话名称，可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
'role_session_name' => '<RoleSessionName>',
// 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
'policy' => '<Policy>',
]);
$ecsConfig = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);
方式五：使用ECS实例RAM角色
该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色，调用ECS的元数据服务（Meta Data Server）换取STS Token，完成凭据客户端初始化。ECI实例，容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。
<?php
use AlibabaCloud\Credentials\Credential;
$ecsRamRole = new Credential([
'type' => 'ecs_ram_role',
// 选填，该ECS角色的角色名称，不填会自动获取，但是建议加上以减少请求次数，可以通过环境变量ALIBABA_CLOUD_ECS_METADATA设置role_name
'role_name' => '<RoleName>',
]);
$ecsRamRole->getRoleName();
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。
<?php
namespace AlibabaCloud\SDK\Sample;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use Darabonba\OpenApi\Models\Config;
// 使用ECS实例RAM角色初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'ecs_ram_role',
// 可选项，不填会自动获取，但是建议加上以减少请求次数，可以通过环境变量ALIBABA_CLOUD_ECS_METADATA设置role_name
'role_name' => '<RoleName>',
]);
$ecsConfig = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);
方式六：使用OIDCRoleArn
在容器服务 Kubernetes 版中设置了Worker节点RAM角色后，对应节点内的Pod中的应用也就可以像ECS上部署的应用一样，通过元数据服务（Meta Data Server）获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用（比如部署您的客户提交的应用，代码也没有对您开放），您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全，同时又能让这些不可信的应用安全地获取所需的 STS Token，实现应用级别的权限最小化，您可以使用RRSA（RAM Roles for Service Account）功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件，并将相关配置信息注入到环境变量中，Credentials工具通过获取环境变量的配置信息，调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。
注入的环境变量如下：
ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；
ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；
ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；
<?php
namespace AlibabaCloud\SDK\Sample;
use AlibabaCloud\Credentials\Credential;
// 使用OIDCRoleArn初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'oidc_role_arn',
// OIDC提供商ARN，可以通过环境变量ALIBABA_CLOUD_OIDC_PROVIDER_ARN设置oidc_provider_arn
'oidc_provider_arn' => '<OidcProviderArn>',
// OIDC Token文件路径，可以通过环境变量ALIBABA_CLOUD_OIDC_TOKEN_FILE设置oidc_token_file_path
'oidc_token_file_path' => '<OidcTokenFilePath>',
// RAM角色名称ARN，示例值：acs:ram::123456789012****:role/adminrole，可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
'role_arn' => '<RoleArn>',
// 角色会话名称，可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
'role_session_name' => '<RoleSessionName>',
// 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
'policy' => '<Policy>',
# 设置session过期时间
'role_session_expiration' => 3600,
]);
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。
<?php
namespace AlibabaCloud\SDK\Sample;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use Darabonba\OpenApi\Models\Config;
// 使用OIDCRoleArn初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'oidc_role_arn',
// OIDC提供商ARN，可以通过环境变量ALIBABA_CLOUD_OIDC_PROVIDER_ARN设置oidc_provider_arn
'oidc_provider_arn' => '<OidcProviderArn>',
// OIDC Token文件路径，可以通过环境变量ALIBABA_CLOUD_OIDC_TOKEN_FILE设置oidc_token_file_path
'oidc_token_file_path' => '<OidcTokenFilePath>',
// RAM角色名称ARN，示例值：acs:ram::123456789012****:role/adminrole，可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
'role_arn' => '<RoleArn>',
// 角色会话名称，可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
'role_session_name' => '<RoleSessionName>',
// 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
'policy' => '<Policy>',
# 设置session过期时间
'role_session_expiration' => 3600,
]);
$ecsConfig = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);
方式七：使用URI凭据
该方案底层实现是STS Token。Credentials工具通过您提供的URI获取STS Token，完成凭据客户端初始化。
<?php
namespace AlibabaCloud\SDK\Sample;
use AlibabaCloud\Credentials\Credential;
// 使用URI凭据初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'credentials_uri',
// 凭证的 URI，格式为http://local_or_remote_uri/，可以通过环境变量ALIBABA_CLOUD_CREDENTIALS_URI设置credentials_uri
'credentials_uri' => '<CredentialsUri>',
]);
接口调用方法
<?php
namespace AlibabaCloud\SDK\Sample;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use Darabonba\OpenApi\Models\Config;
// 使用URI凭据初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'credentials_uri',
// 凭证的 URI，格式为http://local_or_remote_uri/，可以通过环境变量ALIBABA_CLOUD_CREDENTIALS_URI设置credentials_uri
'credentials_uri' => '<CredentialsUri>',
]);
$ecsConfig = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);
方式八：使用Bearer Token
目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。
<?php
use AlibabaCloud\Credentials\Credential;
$bearerToken = new Credential([
'type' => 'bearer',
// 填入您的Bearer Token
'bearer_token' => '<BearerToken>',
]);
$bearerToken->getBearerToken();
$bearerToken->getSignature();
接口调用方法
本示例以调用呼叫中心CCC的GetInstance接口为例，因此需先安装CCC SDK。
<?php
namespace AlibabaCloud\SDK\Sample;
// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('vendor/autoload.php');
use Darabonba\OpenApi\Models\Config;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use AlibabaCloud\SDK\CCC\V20200701\CCC;
use AlibabaCloud\SDK\CCC\V20200701\Models\GetInstanceRequest;
// 使用Bearer Token初始化Credentials Client。
$credentialClient = new Credential([
// 凭证类型。
'type' => 'bearer',
// 填入您的Bearer Token
'bearer_token' => '<BearerToken>',
]);
$config = new Config([
// 使用 credential 配置凭证
'credential' => $credentialClient,
// 产品服务域名
'endpoint' => 'ccc.cn-shanghai.aliyuncs.com'
]);
$cccClient = new CCC($config);
// 初始化 request
$getInstanceRequest = new GetInstanceRequest([
"instanceId" => "ccc-test"
]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $cccClient->getInstanceWithOptions($getInstanceRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);
默认凭据链
当您的程序开发环境和生产环境采用不同的凭据类型，常见做法是在代码中获取当前环境信息，编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链，您可以用同一套代码，通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下，直接使用$credential = new Credential();初始化凭据客户端时，阿里云SDK将会尝试按照如下顺序查找相关凭据信息。
1. 使用环境变量
若不存在优先级更高的凭据信息，Credentials工具会优先在环境变量中获取凭据信息。
如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key） 和 ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value） 不为空，Credentials工具会优先使用它们作为默认凭据。
如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key）、ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value）、ALIBABA_CLOUD_SECURITY_TOKEN（Token）均不为空，Credentials工具会优先使用STS Token作为默认凭据。
2. 使用OIDC RAM角色
若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取如下内容：
ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；
ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；
ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；
若以上三个环境变量都已设置内容，Credentials将会使用变量内容调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取STS Token作为默认凭据。
3. 使用配置文件
若不存在优先级更高的凭据信息，Credentials工具会优先在如下位置查找文件是否存在。
Linux系统：~/.alibabacloud/credentials
Windows系统： C:\Users\USER_NAME\.alibabacloud\credentials
您也可通过环境变量 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在，程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端。当然，您也可以通过环境变量 ALIBABA_CLOUD_PROFILE 来指定凭据信息，例如设置 ALIBABA_CLOUD_PROFILE 的值为client1。
配置示例信息如下：
[default]
enable=true
type=access_key
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
[client1]
enable=true
type=ecs_ram_role
role_name=<ecs_ram_role_name>
[client2]
enable=true
type=ram_role_arn
policy=<policy>
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
role_arn=<ram_role_arn>
role_session_name=<role_session_name>
[client3]
enable=true
type=oidc_role_arn
policy=<policy>
oidc_provider_arn=<ALIBABA_CLOUD_ACCESS_KEY_ID>
oidc_token_file_path=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
role_arn=<ram_role_arn>
role_session_name=<role_session_name>
4. 使用ECS实例RAM角色
若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA（ECS实例RAM角色名称），若存在，程序将会通过ECS的元数据服务（Meta Data Server）获取ECS实例RAM角色的STS Token作为默认凭据信息。
5. 使用Credentials工具URI
若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_CREDENTIALS_URI，若存在，程序将请求该URI地址，获取临时安全凭证作为默认凭据信息。
自定义凭证提供程序链
可通过自定义程序链代替默认程序链的寻找顺序，也可以自行编写闭包传入提供者。
<?php
use AlibabaCloud\Credentials\Providers\ChainProvider;
ChainProvider::set(
ChainProvider::ini(),
ChainProvider::env(),
ChainProvider::instance()
);
如何保护凭据信息
凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题，您可通过如下方案避免在代码中暴露明文凭据信息，降低凭据泄露的风险。
推荐使用ECS实例RAM角色或者使用STS方式。
推荐使用默认凭据链，使用环境变量或者配置文件记录凭据信息。
如使用显示初始化方案初始化凭据客户端，推荐使用系统属性及环境变量记录凭据信息，通过getenv及$_ENV获取。
<?php
use AlibabaCloud\Credentials\Credential;
$ak = new Credential([
'type' => 'access_key',
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
]);
$ak->getAccessKeyId();
$ak->getAccessKeySecret();
如何切换凭据
当您想要在程序中使用不同的访问凭据调用不同OpenAPI时，可以通过如下方式。
使用多个凭据客户端
通过初始化多个凭据客户端，传入到不同的接口请求客户端。
<?php
use AlibabaCloud\Credentials\Credential;
$ak1 = new Credential([
'type' => 'access_key',
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
]);
$ak2 = new Credential([
'type' => 'sts',
'access_key_id' => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
'security_token' => getenv('ALIBABA_CLOUD_SECURITY_TOKEN'),
]);
