OpenSearch:Méthode de signature de l'API OpenSearch V3

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Un AccessKey ID et un AccessKey secret obtenus depuis la console Alibaba Cloud

• Une application OpenSearch (Advanced ou Standard)

Fonctionnement

La signature d'une requête comporte six étapes :

1. Construisez la chaîne CanonicalizedOpenSearchHeaders à partir de tous les en-têtes de requête préfixés par X-Opensearch-*.

2. Construisez la chaîne CanonicalizedResource à partir du chemin de la requête et des paramètres de requête.

3. Assemblez la chaîne à signer en combinant la méthode HTTP, les en-têtes et les composants normalisés.

4. Calculez la signature HMAC-SHA1 de la chaîne à signer en utilisant l'AccessKey secret.

5. Encodez le résultat HMAC en Base64 pour obtenir la valeur finale de la signature.

6. Définissez l'en-tête Authorization en y incluant l'AccessKey ID et la signature.

Protocoles et méthodes de requête pris en charge

L'API OpenSearch V3 utilise exclusivement le protocole HTTP.

• Envoyez des requêtes GET pour rechercher des données.

• Envoyez des requêtes POST pour envoyer des données.

Étape 1 : Construire CanonicalizedOpenSearchHeaders

La variable CanonicalizedOpenSearchHeaders contient tous les en-têtes de requête préfixés par X-Opensearch- (par exemple, X-Opensearch-Nonce). Si la requête ne comporte aucun en-tête X-Opensearch-*, omettez entièrement ce composant de la chaîne à signer.

Pour construire cette chaîne :

1. Attribuez des valeurs à tous les en-têtes X-Opensearch-*. Omettez tout en-tête dont la valeur est vide.

2. Triez les en-têtes restants par ordre alphabétique selon leur nom.

3. Convertissez chaque nom d'en-tête en minuscules (par exemple, X-Opensearch-Nonce devient x-opensearch-nonce).

4. Supprimez tous les espaces autour du délimiteur : dans chaque paire en-tête/valeur (par exemple, x-opensearch-nonce : value devient x-opensearch-nonce:value).

5. Joignez toutes les paires en-tête/valeur avec \n et ajoutez un \n après la dernière paire.

Lors de l'ajout des en-têtes X-Opensearch-* à la requête HTTP réelle, utilisez le format original avec casse mixte ( X-Opensearch-Nonce ), et non la forme en minuscules utilisée pour la signature.

Format de X-Opensearch-Nonce : Un horodatage de 10 chiffres concaténé avec une valeur aléatoire de 6 chiffres comprise entre 100000 et 999999 (par exemple, 155108**********).

Étape 2 : Construire CanonicalizedResource

Le format dépend du type de requête :

• Requêtes de recherche : path + ? + query

• Requêtes d'envoi : path uniquement

/v3/openapi/apps/app_schema_demo/search?fetch_fields=name&query=query%3Dname%3A%27%E6%96%87%E6%A1%A3%27%26%26sort%3Did%26%26config%3Dformat%3Afulljson

Étape 3 : Assembler la chaîne à signer

"Authorization: OPENSEARCH " + AccessKeyId + ":" + Signature

Signature = base64(hmac-sha1(AccessKeySecret,
            VERB + "\n"
            + Content-MD5 + "\n"
            + Content-Type + "\n"
            + Date + "\n"
            + CanonicalizedOpenSearchHeaders
            + CanonicalizedResource))

Tous les paramètres doivent apparaître dans l'ordre indiqué ci-dessus. La chaîne à signer doit être encodée en UTF-8. Si la chaîne contient des caractères chinois, encodez-les en UTF-8 avant de calculer le HMAC.

Incluez un espace après OPENSEARCH dans la valeur de l'en-tête Authorization.

Étape 4 : Calculer la signature HMAC-SHA1

Utilisez HMAC-SHA1 tel que défini dans la RFC 2104 pour signer la chaîne à signer, en utilisant l'AccessKey secret comme clé.

Étape 5 : Encoder le digest en Base64

Encodez en Base64 les octets bruts du digest HMAC-SHA1 pour produire la valeur finale de la signature.

Étape 6 : Définir l'en-tête Authorization

Authorization: OPENSEARCH <AccessKeyId>:<Signature>

Exemple en Python 3 :

headers['Authorization'] = 'OPENSEARCH ' + 'LTAI****************' + ':' + '1P7tfE****'

En-têtes requis par type de requête

Exemple complet

Cet exemple signe une requête de recherche avec les valeurs suivantes :

Chaîne à signer (utilisez cette valeur intermédiaire pour vérifier votre implémentation) :

GET\n
\n
application/json\n
2019-02-25T10:09:57Z\n
x-opensearch-nonce:1551089397451704\n
/v3/openapi/apps/app_schema_demo/search?fetch_fields=name&query=query%3Dname%3A%27%E6%96%87%E6%A1%A3%27%26%26sort%3Did%26%26config%3Dformat%3Afulljson

Calcul de la signature (Python 3) :

import hmac
import base64

signature_string = '\n'.join([
    'GET',
    '',
    'application/json',
    '2019-02-25T10:09:57Z',
    'x-opensearch-nonce:1551089397451704',
    '/v3/openapi/apps/app_schema_demo/search?fetch_fields=name&query=query%3Dname%3A%27%E6%96%87%E6%A1%A3%27%26%26sort%3Did%26%26config%3Dformat%3Afulljson'
])

signature_hmac = hmac.new(
    'yourAccessKeySecret'.encode('utf-8'),
    signature_string.encode('utf-8'),
    'sha1'
)
signature = base64.b64encode(signature_hmac.digest())

Signature finale : 1P7tfE****

En-têtes de la requête :

Content-MD5:
Content-Type: application/json
Authorization: OPENSEARCH LTAI****************:1P7tfE****
X-Opensearch-Nonce: 1551089397451704
Date: 2019-02-25T10:09:57Z

Format de la chaîne de requête

Une URL de requête complète suit le format host + CanonicalizedResource. Dans une chaîne de requête, host spécifie l'endpoint de l'API OpenSearch.

Modèle de schéma d'application

{
  "name": "app_schema_demo",
  "type": "standard",
  "schema": {
    "indexes": {
      "search_fields": {
        "id": {
          "fields": ["id"]
        },
        "name": {
          "fields": ["name"],
          "analyzer": "chn_standard"
        },
        "phone": {
          "fields": ["phone"],
          "analyzer": "fuzzy"
        },
        "int_arr": {
          "fields": ["int_arr"]
        },
        "literal_arr": {
          "fields": ["literal_arr"]
        },
        "cate_id": {
          "fields": ["cate_id"]
        }
      },
      "filter_fields": ["id", "int_arr", "literal_arr", "float_arr", "cate_id"]
    },
    "tables": {
      "tab": {
        "name": "tab",
        "fields": {
          "id": { "name": "id", "type": "INT", "primary_key": true },
          "name": { "name": "name", "type": "TEXT", "primary_key": false },
          "phone": { "name": "phone", "type": "SHORT_TEXT", "primary_key": false },
          "int_arr": { "name": "int_arr", "type": "INT_ARRAY", "primary_key": false },
          "literal_arr": { "name": "literal_arr", "type": "LITERAL_ARRAY", "primary_key": false },
          "float_arr": { "name": "float_arr", "type": "FLOAT_ARRAY", "primary_key": false },
          "cate_id": { "name": "cate_id", "type": "INT", "primary_key": false }
        },
        "primary_table": true
      }
    },
    "route_field": null
  },
  "data_sources": [],
  "first_ranks": {},
  "second_ranks": {},
  "summary": [],
  "fetch_fields": ["id", "name", "phone", "int_arr", "literal_arr", "float_arr", "cate_id"],
  "quota": {
    "qps": 6,
    "doc_size": 0.3
  }
}

Dépannage

Erreur HTTP 403 sur chaque requête

La cause la plus fréquente est un horodatage en dehors de la fenêtre de tolérance de 15 minutes. Assurez-vous que l'en-tête Date utilise l'heure UTC actuelle au format ISO 8601 (YYYY-MM-DDThh:mm:ssZ) et que l'horloge de votre système est synchronisée.

Incompatibilité de signature

Vérifiez les points suivants dans l'ordre :

1. Vérifiez que la chaîne à signer correspond à la valeur intermédiaire de l'exemple ci-dessus — calculez la chaîne à signer pour votre requête et journalisez-la avant le hachage.

2. Confirmez que Content-MD5 est vide pour les requêtes GET.

3. Confirmez que les noms d'en-tête CanonicalizedOpenSearchHeaders sont en minuscules et triés par ordre alphabétique.

4. Confirmez que les clauses du paramètre query sont concaténées avec && avant l'encodage URL.

5. Confirmez que la chaîne de signature et l'AccessKey secret sont tous deux encodés en UTF-8 avant le calcul du HMAC.