API Gateway:hmac-auth

プロセス

クライアントは、次の手順で署名を生成します：

1. 元のリクエストからキーとなるデータを抽出して、署名文字列を生成します。

2. 設定した secret で署名文字列を暗号化し、署名を生成します。

3. 署名に関連するすべてのヘッダーを、元の HTTP リクエストに追加します。

署名文字列の抽出

クライアントは HTTP リクエストからキーとなるデータを抽出し、次の形式で署名文字列に結合します：

HTTPMethod
Accept
Content-MD5
Content-Type
Date
Headers
PathAndParameters

署名文字列抽出の例

初期 HTTP リクエスト：

POST /http2test/test?param1=test HTTP/1.1
host:api.alibabacloud.com
accept:application/json; charset=utf-8
ca_version:1
content-type:application/x-www-form-urlencoded; charset=utf-8
x-ca-timestamp:1525872629832
date:Wed, 09 May 2018 13:30:29 GMT+00:00
user-agent:ALIYUN-ANDROID-DEMO
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
content-length:33
username=taro&password=123456789

生成された署名文字列：

POST
application/json; charset=utf-8
application/x-www-form-urlencoded; charset=utf-8
Wed, 09 May 2018 13:30:29 GMT+00:00
x-ca-key:203753385
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
x-ca-signature-method:HmacSHA256
x-ca-timestamp:1525872629832
/http2test/test?param1=test&password=123456789&username=taro

署名の計算

署名文字列を生成した後、クライアントはそれを暗号化してエンコードし、最終的な署名を生成します。

このコードでは、stringToSign が抽出した署名文字列、secret がプラグイン設定のシークレット、sign が最終的な署名です。

Mac hmacSha256 = Mac.getInstance("HmacSHA256");
byte[] secretBytes = secret.getBytes("UTF-8");
hmacSha256.init(new SecretKeySpec(secretBytes, 0, secretBytes.length, "HmacSHA256"));
byte[] result = hmacSha256.doFinal(stringToSign.getBytes("UTF-8"));
String sign = Base64.encodeBase64String(result);

stringToSign は UTF-8 バイト配列にエンコードされ、HMAC アルゴリズムで暗号化された後、Base64 エンコードされて署名が生成されます。

署名の追加

署名検証のために、Cloud-native API Gateway に送信するリクエストには次のヘッダーを含めます：

• x-ca-key：設定した key です。必須です。

• x-ca-signature-method：署名アルゴリズムです。オプションです。有効な値：HmacSHA256 および HmacSHA1。デフォルト値：HmacSHA256。

• x-ca-signature-headers：署名ヘッダーキーの一覧です。カンマ (,) で区切ります。オプションです。

• x-ca-signature：署名です。必須です。

署名付き HTTP リクエストの例：

POST /http2test/test?param1=test HTTP/1.1
host:api.alibabacloud.com
accept:application/json; charset=utf-8
ca_version:1
content-type:application/x-www-form-urlencoded; charset=utf-8
x-ca-timestamp:1525872629832
date:Wed, 09 May 2018 13:30:29 GMT+00:00
user-agent:ALIYUN-ANDROID-DEMO
x-ca-nonce:c9f15cbf-f4ac-4a6c-b54d-f51abf4b5b44
x-ca-key:203753385
x-ca-signature-method:HmacSHA256
x-ca-signature-headers:x-ca-timestamp,x-ca-key,x-ca-nonce,x-ca-signature-method
x-ca-signature:xfX+bZxY2yl7EB/qdoDy9v/uscw3Nnj1pgoU+Bm6xdM=
content-length:33
username=taro&password=123456789

プロセス

サーバーは、次の手順でクライアント署名を検証します：

1. リクエストからキーとなるデータを抽出して、署名文字列を取得します。

2. リクエストから key を読み取り、対応する secret を検索します。

3. secret で署名文字列を暗号化し、署名を生成します。

4. サーバー側の署名と、リクエスト内のクライアント側署名を比較します。

署名エラーのトラブルシューティング

署名検証に失敗した場合、サーバーはサーバー側の StringToSign を X-Ca-Error-Message レスポンスヘッダーで返します。クライアント側の StringToSign と比較して差分を特定してください。

2 つの値が一致する場合は、署名計算に使用した secret を確認してください。

HTTP ヘッダーは改行をサポートしないため、StringToSign 内の改行は # に置き換えられます。

X-Ca-Error-Message: Server StringToSign:`GET#application/json##application/json##X-Ca-Key:200000#X-Ca-Timestamp:1589458000000#/app/v1/config/keys?keys=TEST`