Object Storage Service:POST V1 signature

Quando a assinatura POST V1 é necessária

As solicitações HTTP POST para o OSS aceitam o algoritmo de assinatura V1, referido neste tópico como assinatura POST V1. Antes de calcular uma assinatura POST V1, verifique as seguintes condições e dependências:

• ACL do bucket — Uma solicitação PostObject deve conter uma assinatura quando a ACL do bucket de destino for public-read ou private.

• Campos de formulário — Forneça os campos de formulário OSSAccessKeyId, Signature e policy em conjunto. Se qualquer um desses três campos estiver presente no formulário, os outros dois também serão obrigatórios. Para descrições detalhadas dos campos, consulte Form fields.

• Local de cálculo da assinatura — O servidor de aplicação calcula a assinatura e a fornece, juntamente com a política de upload, ao cliente. O cliente usa essas informações para construir a solicitação PostObject.

• Credenciais — A assinatura é calculada a partir do AccessKey secret. O campo de formulário OSSAccessKeyId contém o AccessKey ID do mesmo par de AccessKey.

Calcular uma assinatura POST V1

Calcule uma assinatura POST V1 no servidor de aplicação seguindo estas três etapas:

1. Crie a política. Elabore uma política codificada em UTF-8. Para consultar a sintaxe da política e as condições declaráveis, veja Policy structure.

2. Construa a string a ser assinada (StringToSign). Codifique a política em Base64. A string resultante corresponde à string a ser assinada (StringToSign).

3. Calcule a assinatura. Use o AccessKey secret para assinar a string alvo. A fórmula de assinatura é Signature = base64(hmac-sha1(AccessKeySecret,base64(policy))).

A figura a seguir ilustra o processo de cálculo da assinatura POST V1.

Exemplo: calcular uma assinatura POST V1 em Java

O exemplo Java a seguir executa as três etapas da assinatura POST V1 com base na política de exemplo descrita em Policy structure. A etapa 3 chama o SDK Java do OSS, aplicando a fórmula base64(hmac-sha1(AccessKeySecret,base64(policy))) à string a ser assinada.

import org.apache.commons.codec.binary.Base64;

public class Demo {
    public static void main(String[] args) {
        // Before running this code example, make sure the OSS_ACCESS_KEY_SECRET environment variable is set.
        String accessKeySecret =  System.getenv().get("OSS_ACCESS_KEY_SECRET");

        // Step 1: Create the policy.
        String policy = "{\n" +
                "  \"expiration\": \"2023-12-03T13:00:00.000Z\",\n" +
                "  \"conditions\": [\n" +
                "    {\"bucket\": \"examplebucket\"},\n" +
                "    [\"content-length-range\", 1, 10],\n" +
                "    [\"eq\", \"$success_action_status\", \"201\"],\n" +
                "    [\"starts-with\", \"$key\", \"user/eric/\"],\n" +
                "    [\"in\", \"$content-type\", [\"image/jpeg\", \"image/png\"]],\n" +
                "    [\"not-in\", \"$cache-control\", [\"no-cache\"]]\n" +
                "  ]\n" +
                "}";

        // Step 2: Construct the string to sign (StringToSign).
        String stringToSign = new String(Base64.encodeBase64(policy.getBytes()));

        // Step 3: Calculate the signature.
        String signature = com.aliyun.oss.common.auth.ServiceSignature.create().computeSignature(accessKeySecret, stringToSign);
        System.out.println("signature:" + signature);
    }
}

A assinatura é impressa no formato abaixo. O valor exibido é uma string codificada em Base64 que depende do seu AccessKey secret e dos bytes exatos da sua política; portanto, sua saída será diferente da amostra a seguir.

signature:****

Envie o valor calculado no campo de formulário Signature da solicitação PostObject, juntamente com os campos OSSAccessKeyId e policy.

Campos de formulário

Os elementos de formulário listados abaixo são específicos da assinatura POST V1. Para outros elementos comuns, consulte PostObject form elements. Sobre as condições em que esses campos são obrigatórios, veja When a POST V1 signature is required.

Estrutura da política

O campo de formulário policy representa uma política de segurança que define permissões e restrições para upload de objetos no OSS via formulário HTML. Essa política, definida em JSON, restringe operações de upload por meio de diversos parâmetros, como nome do bucket permitido, prefixo do objeto, tempo de expiração, métodos HTTP permitidos, limites de tamanho de conteúdo e restrições de tipo de conteúdo.

É obrigatório incluir os campos expiration e conditions na política, conforme demonstrado no exemplo a seguir.

{
  "expiration": "2023-12-03T13:00:00.000Z",
  "conditions": [
    {"bucket": "examplebucket"},
    ["content-length-range", 1, 10],
    ["eq", "$success_action_status", "201"],
    ["starts-with", "$key", "user/eric/"],
    ["in", "$content-type", ["image/jpeg", "image/png"]],
    ["not-in", "$cache-control", ["no-cache"]]
  ]
}

A política contém os seguintes elementos:

• expiration — Define o horário de expiração da política no formato ISO 8601 GMT. Por exemplo, 2023-12-03T13:00:00.000Z indica que a solicitação POST deve ser iniciada antes das 13:00 GMT de 3 de dezembro de 2023.

• conditions — Especifica os valores válidos para os campos de formulário na solicitação POST.

A tabela abaixo descreve os campos declaráveis em conditions.