API Gateway:hmac-auth

処理中

署名を生成するために、クライアントは次の手順を実行します。

1. 元のリクエストからキーデータを抽出し、署名文字列を生成します。

2. 暗号化アルゴリズムと設定されたシークレットを使用して署名文字列を暗号化し、署名を生成します。

3. 署名に関連するすべてのヘッダーを元のHTTPリクエストに追加して、最終的なHTTPリクエストを取得します。

署名文字列の抽出

署名を生成するために、クライアントは、HTTP要求から鍵データを抽出し、鍵データを署名文字列に結合する必要がある。 署名文字列の形式は次のとおりです。

HTTPMethod
Accept
Content-MD5
Content-Type
Date
Headers
PathAndParameters

署名文字列の抽出例

初期HTTPリクエスト:

POST /http2test/test?param1=test HTTP/1.1
host:api.aliyun.com
accept:application/json; charset=utf-8
ca_version:1
content-type:application/x-www-form-urlencoded; charset=utf-8
x-ca-timestamp:1525872629832
date:Wed, 09 May 2018 13:30:29 GMT+00:00
user-agent:ALIYUN-ANDROID-DEMO
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
content-length:33
username=xiaoming&password=123456789

生成された署名文字列:

POST
application/json; charset=utf-8
application/x-www-form-urlencoded; charset=utf-8
Wed, 09 May 2018 13:30:29 GMT+00:00
x-ca-key:203753385
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
x-ca-signature-method:HmacSHA256
x-ca-timestamp:1525872629832
/http2test/test?param1=test&password=123456789&username=xiaoming

署名を計算する

クライアントがHTTP要求から鍵データを抽出し、署名文字列を生成した後、クライアントは、最終署名を形成するために署名文字列を暗号化および符号化する必要がある。

暗号化プロセスでは、stringToSignは抽出された署名文字列を指定し、secretはプラグイン構成で指定し、signは最終署名を指定します。

Mac hmacSha256 = Mac.getInstance("HmacSHA256");
byte[] secretBytes = secret.getBytes("UTF-8");
hmacSha256.init(new SecretKeySpec(secretBytes, 0, secretBytes.length, "HmacSHA256"));
byte[] result = hmacSha256.doFinal(stringToSign.getBytes("UTF-8"));
String sign = Base64.encodeBase64String(result);

要約すると、stringToSignはUTF-8を使用してバイト配列にデコードされます。 バイト配列は、暗号化アルゴリズムを使用して暗号化され、Base64アルゴリズムを使用してエンコードされて署名が生成されます。

署名を追加する

クライアントは、署名検証のためにCloud-native API Gatewayに送信されるリクエストに次のヘッダーを含める必要があります。

• x-ca-key: 必須のAppKey。

• x-ca-signature-method: オプションの署名アルゴリズム。 有効な値: HmacSHA256およびHmacSHA1 デフォルト値: HmacSHA256。

• x-ca-signature-headers: すべての署名ヘッダーのキーのコレクション。オプションです。 キーはコンマ (,) で区切ります。

• x-ca-signature: 必要な署名。

次の例は、署名付きのHTTPリクエストを示しています。

POST /http2test/test?param1=test HTTP/1.1
host:api.aliyun.com
accept:application/json; charset=utf-8
ca_version:1
content-type:application/x-www-form-urlencoded; charset=utf-8
x-ca-timestamp:1525872629832
date:Wed, 09 May 2018 13:30:29 GMT+00:00
user-agent:ALIYUN-ANDROID-DEMO
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
x-ca-key:203753385
x-ca-signature-method:HmacSHA256
x-ca-signature-headers:x-ca-timestamp,x-ca-key,x-ca-nonce,x-ca-signature-method
x-ca-signature:xfX+bZxY2yl7EB/qdoDy9v/uscw3Nnj1pgoU+Bm6xdM=
content-length:33
username=xiaoming&password=123456789

処理中

クライアントから受信した署名を検証するために、サーバーは次の手順を実行します。

1. リクエストからキーデータを抽出して署名文字列を取得します。

2. リクエストからキーを読み取り、キーを使用してシークレットを取得します。

3. 暗号化アルゴリズムとシークレットを使用して署名文字列を暗号化し、署名を取得します。

4. リクエストからクライアント側の署名を読み取り、サーバー側の署名をクライアント側の署名と比較します。

署名エラーのトラブルシューティング

署名の検証が失敗した場合、システムはサーバー側の署名文字列 (StringToSign) をクライアントに返されるHTTP応答のヘッダーに追加します。 キーはX-Ca-Error-Messageです。 クライアント側の署名文字列 (StringToSign) をサーバー側の署名文字列と比較すると、エラーを特定できます。

2つの値が同じ場合は、署名の計算に使用されるAppSecretを確認します。

HTTPヘッダーは改行をサポートしていません。 署名文字列 (StringToSign) の改行は、数字記号 (#) に置き換えられます。

X-Ca-Error-Message:  Server StringToSign:`GET#application/json##application/json##X-Ca-Key:200000#X-Ca-Timestamp:1589458000000#/app/v1/config/keys?keys=TEST`