API 签名机制是什么?

阿里云产品服务会对每个访问请求进行身份验证，所以无论您使用 HTTP 还是 HTTPS协议提交请求，都需要在请求中包含签名（Signature）信息。
签名需要您在控制台 AccessKey 管理 页面获得 Access Key ID 和 Access Key Secret，进行对称加密来验证请求的发送者身份。其中，AccessKey ID 用于标识访问者身份；Access Key Secret 是用于加密签名字符串和服务器端验证签名字符串的密钥，必须严格保密。
注意：阿里云提供了 Python、Java、PHP和 C#等语言的 SDK 及第三方 SDK，可以免去您对签名算法进行编码的麻烦。您可以从 这里了解更多阿里云 SDK 的信息。

[font='iconfont'] 签名操作


您在访问时，需要按照下面的方法对请求进行签名处理。

1. 
   构造规范化的请求字符串（Canonicalized Query String）。
   按参数名进行排序。
   按照参数名称的字典顺序对请求中所有的请求参数进行排序，包括“公共请求参数”（不包括 Signature参数）和接口的自定义参数。

   
   注意：当使用 GET 方法提交请求时，这些参数就是请求 URI 中的参数部分（即 URI中“?”之后由“&”连接的部分）。
   

2. 
   对参数名称和参数值进行 URL 编码。
   名称和值要使用 UTF-8 字符集进行 URL 编码。URL 编码的规则如下：
   • 字符 A~Z、a~z、0~9 以及字符“-”、“_”、“.”、“~”不编码；
   • 其它字符编码成 %XY 的格式，其中 XY 是字符对应 ASCII 码的 16进制表示。比如英文的双引号（”）对应的编码为 %22；
   • 对于扩展的 UTF-8 字符，编码成 %XY%ZA… 的格式；
   • 英文空格（ ）要编码成 %20，而不是加号（+）。

注意：一般支持URL编码的库（比如 Java 中的 java.net.URLEncoder）都是按照“application/x-www-form-urlencoded”的 MIME类型的规则进行编码的。实现时可以直接使用这类方式进行编码，把编码后的字符串中加号（+）替换成 %20、星号（*）替换成%2A、%7E 替换回波浪号（~），即可得到上述规则描述的编码字符串。

对编码后的参数名称和值使用英文等号（=）进行连接。

按参数名称的字典顺序，把英文等号连接得到字符串依次使用 &符号连接，即得到规范化请求字符串。

构造被签名字符串。
基于步骤 1 得到的规范化字符串构造用于计算签名的字符串，可参考如下规则：

1. StringToSign=
2.      HTTPMethod + “&” +
3.      percentEncode(“/”) + ”&” +
4.       percentEncode(CanonicalizedQueryString)

其中：

• HTTPMethod 是提交请求用的 HTTP 方法，比如 GET。
• percentEncode(“/”) 是按照步骤 1.i 中描述的 URL 编码规则对字符 “/” 进行编码得到的值，即%2F。
  
• percentEncode(CanonicalizedQueryString) 是对步骤 1 中构造的规范化请求字符串按步骤1.ii 中描述的 URL 编码规则编码后得到的字符串。

计算 HMAC 值。
按照 RFC2104的定义，使用步骤 2 得到的字符串计算签名 HMAC 值。

注意：计算签名时使用的 Key 就是您持有的 Access Key Secret 并加上一个“&” 字符（ASCII:38），使用的哈希算法是 SHA1。

计算签名值。
按照 Base64编码规则 把步骤 3 中的 HMAC 值编码成字符串，即得到签名值（Signature）。
添加签名。
将得到的签名值作为 Signature 参数添加到请求参数中，即完成对请求签名的过程。

注意：得到的签名值在作为最后的请求参数值提交给服务器时，要和其它参数一样，按照 RFC3986 的规则进行 URL编码。

[font='iconfont'] 示例


以 DescribeRegions 为例，假设使用的 Access Key Id 为 testid，Access Key Secret 为 testsecret。 那么签名前的请求 URL 为：

1.    http://ecs.aliyuncs.com/?TimeStamp=2016-02-23T12:46:24Z&Format=XML&AccessKeyId=testid&Action=DescribeRegions&SignatureMethod=HMAC-SHA1&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&SignatureVersion=1.0

计算得到的待签名字符串 StringToSign 为：

1.    GET&%2F&AccessKeyId%3Dtestid&Action%3DDescribeRegions&Format%3DXML&SignatureMethod%3DHMAC-SHA1&SignatureNonce%3D3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&SignatureVersion%3D1.0&TimeStamp%3D2016-02-23T12%253A46%253A24Z&Version%3D2014-05-26

因为 Access Key Secret 为 testsecret，所以用于计算 HMAC 的 Key为 testsecret&，计算得到的签名值为：

1.    CT9X0VtwR86fNWSnsc6v8YGOjuE=

将签名作为 Signature 参数加入到 URL 请求中，最后得到的 URL 为：

1.    http://ecs.aliyuncs.com/?SignatureVersion=1.0&Action=DescribeRegions&Format=XML&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26&AccessKeyId=testid&Signature=CT9X0VtwR86fNWSnsc6v8YGOjuE%3D&SignatureMethod=HMAC-SHA1&TimeStamp=2016-02-23T12%3A46%3A24Z

[font='iconfont'] Java 示例代码


本示例不需要依赖第三方的库包，可以直接使用。签名步骤如下所示。

1. 
   构造规范化的请求字符串（排序及 URL 编码）。 public static Map<String, String> splitQueryString(String url)
2.          throws URISyntaxException, UnsupportedEncodingException {
3.      URI uri = new URI(url);
4.      String query = uri.getQuery();
5.      final String[] pairs = query.split("&");
6.      TreeMap<String, String> queryMap = new TreeMap<String, String>();
7.      for (String pair : pairs) {
8.          final int idx = pair.indexOf("=");
9.          final String key = idx > 0 ? pair.substring(0, idx) : pair;
10.          if (!queryMap.containsKey(key)) {
11.              queryMap.put(key, URLDecoder.decode(pair.substring(idx + 1),
12.                      CHARSET_UTF8));
13.          }
14.      }
15.      return queryMap;
16. }
18. /** 对参数名称和参数值进行URL编码**/
19. public static String generate(String method, Map<String, String> parameter,
20.                                String accessKeySecret) throws Exception {
21.      String signString = generateSignString(method, parameter);
22.      System.out.println("signString---" + signString);
23.      byte[] signBytes = hmacSHA1Signature(accessKeySecret + "&", signString);
24.      String signature = newStringByBase64(signBytes);
25.      System.out.println("signature---" + signature);
26.      if ("POST".equals(method))
27.          return signature;
28.      return URLEncoder.encode(signature, "UTF-8");
30. }

构造成待签名的字符串。

1. public static String generateSignString(String httpMethod,
2.                                          Map<String, String> parameter) throws IOException {
3.      TreeMap<String, String> sortParameter = new TreeMap<String, String>();
4.      sortParameter.putAll(parameter);
6.      String canonicalizedQueryString = UrlUtil.generateQueryString(
7.              sortParameter, true);
8.      if (null == httpMethod) {
9.          throw new RuntimeException("httpMethod can not be empty");
10.      }
12.      /** 构造待签名的字符串* */
13.      StringBuilder stringToSign = new StringBuilder();
14.      stringToSign.append(httpMethod).append(SEPARATOR);
15.      stringToSign.append(percentEncode("/")).append(SEPARATOR);
16.      stringToSign.append(percentEncode(canonicalizedQueryString));
18.      return stringToSign.toString();
19. }

计算待签名字符串的 HMAC 值。

1. public static byte[] hmacSHA1Signature(String secret, String baseString)
2.          throws Exception {
3.      if (isEmpty(secret)) {
4.          throw new IOException("secret can not be empty");
5.      }
6.      if (isEmpty(baseString)) {
7.          return null;
8.      }
9.      Mac mac = Mac.getInstance("HmacSHA1");
10.      SecretKeySpec keySpec = new SecretKeySpec(
11.              secret.getBytes(CHARSET_UTF8), ALGORITHM);
12.      mac.init(keySpec);
13.      return mac.doFinal(baseString.getBytes(CHARSET_UTF8));
14. }
16. private static boolean isEmpty(String str) {
17.     return (str == null || str.length() == 0);
18. }

按照 Base64 编码规则编码成字符串，获取签名值。

1. public static String newStringByBase64(byte[] bytes)
2.          throws UnsupportedEncodingException {
3.      if (bytes == null || bytes.length == 0) {
4.          return null;
5.      }
6.      return new String(new BASE64Encoder().encode(bytes));
7. }
8. public static String composeStringToSign(Map<String, String> queries) {
9.      String[] sortedKeys = (String[]) queries.keySet()
10.              .toArray(new String[0]);
11.      Arrays.sort(sortedKeys);
12.      StringBuilder canonicalizedQueryString = new StringBuilder();
13.      for (String key : sortedKeys) {            canonicalizedQueryString.append("&").append(percentEncode(key))
14.                  .append("=")
15.                  .append(percentEncode((String) queries.get(key)));
16.      }
17.      StringBuilder stringToSign = new StringBuilder();
18.      stringToSign.append("GET");
19.      stringToSign.append("&");
20.      stringToSign.append(percentEncode("/"));
21.      stringToSign.append("&");        stringToSign.append(percentEncode(canonicalizedQueryString.toString()
22.              .substring(1)));
23.      return stringToSign.toString();
24. }
25. public static String percentEncode(String value) {
26.      try {
27.          return value == null ? null : URLEncoder
28.                  .encode(value, CHARSET_UTF8).replace("+", "%20")
29.                  .replace("*", "%2A").replace("%7E", "~");
30.      } catch (Exception e) {
31.      }
32.      return "";
33. }
34. /**
35.   * get SignatureNonce
36.   ** */
37. public static String getUniqueNonce() {
38.      UUID uuid = UUID.randomUUID();
39.      return uuid.toString();
40. }
41. /**
42.   * get timestamp
43.   **/
44. public static String getISO8601Time() {
45.      Date nowDate = new Date();
46.      SimpleDateFormat df = new SimpleDateFormat("yyyy-MM-dd'T'HH:mm:ss'Z'");
47.      df.setTimeZone(new SimpleTimeZone(0, "GMT"));
48.      return df.format(nowDate);
49. }

添加签名。

1. public static String composeUrl(String endpoint, Map<String, String> queries)
2.          throws UnsupportedEncodingException {
3.      Map<String, String> mapQueries = queries;
4.      StringBuilder urlBuilder = new StringBuilder("");
5.      urlBuilder.append("http");
6.      urlBuilder.append("://").append(endpoint);
7.      if (-1 == urlBuilder.indexOf("?")) {
8.          urlBuilder.append("/?");
9.      }
10.      urlBuilder.append(concatQueryString(mapQueries));
11.      return urlBuilder.toString();
12. }
13. public static String concatQueryString(Map<String, String> parameters)
14.          throws UnsupportedEncodingException {
15.      if (null == parameters) {
16.          return null;
17.      }
18.      StringBuilder urlBuilder = new StringBuilder("");
19.      for (Map.Entry<String, String> entry : parameters.entrySet()) {
20.          String key = (String) entry.getKey();
21.          String val = (String) entry.getValue();
22.          urlBuilder.append(encode(key));
23.          if (val != null) {
24.              urlBuilder.append("=").append(encode(val));
25.          }
26.          urlBuilder.append("&");
27.      }
28.      int strIndex = urlBuilder.length();
29.      if (parameters.size() > 0) {
30.          urlBuilder.deleteCharAt(strIndex - 1);
31.      }
32.      return urlBuilder.toString();
33. }
34. public static String encode(String value)
35.          throws UnsupportedEncodingException {
36.      return URLEncoder.encode(value, "UTF-8");
37. }
38. }

[font='iconfont'] API 调用示例



[font='iconfont'] 示例 1

1. /*
2. * Demo_01: Build a immutable signature instance and print out;
3. * The Signature's toString() function will invoke signature's get() function.
4. */
5. out("output: " +
6.         Signature.newBuilder()
7.             .method(The.HTTP.GET.method())
8.             .url(URL)
9.             .secret(The.API.secret())
10.             .build()
11. );

[font='iconfont'] 示例 2

1. /*
2. * Demo_02: Build a real signature and compose a request url to invoke DescribeRegions api call;
3. */
4. 对一个真实的 API URL 进行签名
5. final String ACTION = "DescribeRegions";
6. final String API_URL = The.API.build(ACTION);
8. out(httpGet(Signature.newBuilder()
9.                 .method(The.HTTP.GET.method())
10.                 .url(API_URL)
11.                 .secret(The.API.secret())
12.                 .build()
13.                 .compose())
14. );

为了方便您快速使用签名机制，您可以在 这里下载完整的示例代码。

注意：您需要将 ACCESS 和 SECRET 替换为您的 Access Key ID 和 Access KeySecret。