Object Storage Service：Callback

在URL中攜帶參數

在URL中攜帶參數時，callback為必選參數，callback-var為選擇性參數。如果請求中出現了callback或callback-var，則在計算簽名時，需要將callback或者callback-var參數作為CanonicalizedResource的子資源。更多資訊，請參見構建CanonicalizedResource的方法。

PUT /test.txt?OSSAccessKeyId=LTAI5t7h6SgiLSga****&Signature=vjbyPxybdZaNmGa%2ByT272YEAiv****&Expires=1682484377&callback-var=eyJ4Om15X3ZhciI6ImZvci1jYWxsYmFjay10ZXN0****&callback=eyJjYWxsYmFja1VybCI6IjEyMS40My4xMTMuODoyMzQ1Ni9pbmRleC5odG1sIiwgICJjYWxsYmFja0JvZHkiOiJidWNrZXQ9JHtidWNrZXR9Jm9iamVjdD0ke29iamVjdH0mZXRhZz0ke2V0YWd9JnNpemU9JHtzaXplfSZtaW1lVHlwZT0ke21pbWVUeXBlfSZpbWFnZUluZm8uaGVpZ2h0PSR7aW1hZ2VJbmZvLmhlaWdodH0maW1hZ2VJbmZvLndpZHRoPSR7aW1hZ2VJbmZvLndpZHRofSZpbWFnZUluZm8uZm9ybWF0PSR7aW1hZ2VJbmZvLmZvcm1hdH0mbXlfdmFyPSR7eDpteV92YXJ9**** HTTP/1.1
Host: callback-test.oss-cn-hangzhou.aliyuncs.com
Date: Wed, 26 Apr 2023 03:46:17 GMT
Content-Length: 5
Content-Type: text/plain

在Header中攜帶參數

在Header中攜帶參數時，需要將x-oss-callback或者x-oss-callback-var作為Header帶入請求發送。在計算簽名CanonicalizedOSSHeaders時，將x-oss-callback-var和x-oss-callback計算在內。樣本如下：

PUT /test.txt HTTP/1.1
Host: callback-test.oss-test.aliyun-inc.com
Accept-Encoding: identity
Content-Length: 5
x-oss-callback-var: eyJ4Om15X3ZhciI6ImZvci1jYWxsYmFjay10ZXN0****
User-Agent: aliyun-sdk-python/0.4.0 (Linux/2.6.32-220.23.2.ali1089.el5.x86_64/x86_64;2.5.4)
x-oss-callback: eyJjYWxsYmFja1****4x
Host: callback-test.oss-test.aliyun-inc.com
Expect: 100-Continue
Date: Wed, 26 Apr 2023 03:46:17 GMT
Content-Type: text/plain
Authorization: OSS mlepou3zr4u****:5a74vhd4UXpmyuudV14Kaen5****
Test

在POST請求的Body中使用表單域來攜帶參數

使用PostObject介面上傳Object時，僅支援通過POST請求的Body中使用表單域來攜帶參數的方式指定回調參數。

• 如果需要在POST上傳Object時附帶回調參數，callback參數要使用獨立的表單域來附加，樣本如下：

  --9431149156168
  Content-Disposition: form-data; name="callback"
  eyJjYWxsYmFja1VybCI6IjEwLj****4xN

• 如果是自訂參數，不能直接將callback-var參數直接附加到表單域中。每個自訂的參數都需要使用獨立的表單域來添加。例如，自訂參數JSON欄位樣本如下：

  {
  "x:var1":"value1",
  "x:var2":"value2"
  }

  則POST請求的表單域為：

  --9431149156168
  Content-Disposition: form-data; name="callback"
  eyJjYWxsYmFja1VybCI6IjEwLj****4xN
  --9431149156168
  Content-Disposition: form-data; name="x:var1"
  value1
  --9431149156168
  Content-Disposition: form-data; name="x:var2"
  value2

  同時，您還可以在policy中添加callback條件。如果不添加callback條件，則不對該參數做上傳驗證，如下所示。

  { "expiration": "2021-12-01T12:00:00.000Z",
    "conditions": [
      {"bucket": "johnsmith" },
      {"callback": "eyJjYWxsYmFja1V****4My"},
      ["starts-with", "$key", "user/eric/"],
    ]
  }

步驟一：產生簽名

• 產生簽名的方式

  採用RSA非對稱方式產生簽名。

  authorization = base64_encode(rsa_sign(private_key, url_decode(path) + query_string + '\n' + body, md5))

  說明

  其中，private_key為私密金鑰，path為回調請求的資源路徑，query_string為查詢字串，body為回調的訊息體。

• 產生簽名的步驟

  1. 擷取待簽名字串：資源路徑經過URL解碼後，會附加原始的查詢字串、一個斷行符號符以及回調訊息體。

  2. RSA簽名：使用金鑰組待簽名字串進行簽名，簽名的雜湊函數為md5。

  3. 將簽名後的結果做Base64編碼，擷取最終的簽名，然後將簽名放在回調請求的authorization頭中。

• 產生簽名的樣本

  POST /index.php?id=1&index=2 HTTP/1.0
  Host: 172.16.XX.XX
  Connection: close
  Content-Length: 18
  authorization: kKQeGTRccDKyHB3H9vF+xYMSrmhMZj****/kdD1ktNVgbWEfYTQG0G2SU/RaHBovRCE8OkQDjC3uG33esH2t****
  Content-Type: application/x-www-form-urlencoded
  User-Agent: http-client/0.0.1
  x-oss-pub-key-url: aHR0cDovL2dvc3NwdWJsaWMuYWxpY2RuLmNvbS9jYWxsYmFja19wdWJfa2V5X3YxLnsr****
  bucket=examplebucket

  path為/index.php，query_string為?id=1&index=2，body為bucket=examplebucket，最終簽名結果為kKQeGTRccDKyHB3H9vF+xYMSrmhMZjzzl2/kdD1ktNVgbWEfYTQG0G2SU/RaHBovRCE8OkQDjC3uG33esH2t****。

步驟二：驗證簽名

• 驗證簽名的方式

  通過應用伺服器驗證簽名樣本如下：

  Result = rsa_verify(public_key, md5(url_decode(path) + query_string + ‘\n’ + body), base64_decode(authorization))

  其中，public_key為公開金鑰，authorization為回調頭中的簽名。

• 驗證簽名的過程

  1. 回調請求的x-oss-pub-key-url頭儲存的是公開金鑰URL地址的base64編碼，需要對x-oss-pub-key-url執行base64解碼後擷取公開金鑰。

     public_key = urlopen(base64_decode(x-oss-pub-key-url頭的值))

     例如，擷取到公開金鑰的URL地址為aHR0cDovL2dvc3NwdWJsaWMuYWxpY2RuLmNvbS9jYWxsYmFja19wdWJfa2V5X3YxLnBlbQ==，經過base64解碼後得到http://gosspublic.alicdn.com/callback_pub_key_v1.pem。

     說明

     OSS頒發的public_key中x-oss-pub-key-url頭的值必須以http://gosspublic.alicdn.com/或者https://gosspublic.alicdn.com/開頭。

  2. 擷取base64解碼後的簽名。

     signature = base64_decode(authorization頭的值)

  3. 擷取待簽名字串，方法與簽名一致。

     sign_str = url_decode(path) + query_string + ‘\n’ + body

  4. 驗證簽名。

     result = rsa_verify(public_key, md5(sign_str), signature)

• 驗證簽名樣本

  以Python為例，示範應用伺服器中驗證簽名的方法，此樣本需要安裝M2Crypto庫。

  import httplib
  import base64
  import md5
  import urllib2
  from BaseHTTPServer import BaseHTTPRequestHandler, HTTPServer
  from M2Crypto import RSA
  from M2Crypto import BIO
  def get_local_ip():
      try:
          csock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
          csock.connect(('8.8.8.8', 80))
          (addr, port) = csock.getsockname()
          csock.close()
          return addr
      except socket.error:
          return ""
  class MyHTTPRequestHandler(BaseHTTPRequestHandler):
      '''
      def log_message(self, format, *args):
          return
      '''
      def do_POST(self):
          #get public key
          pub_key_url = ''
          try:
              pub_key_url_base64 = self.headers['x-oss-pub-key-url']
              pub_key_url = pub_key_url_base64.decode('base64')
              if not pub_key_url.startswith("http://gosspublic.alicdn.com/") and not pub_key_url.startswith("https://gosspublic.alicdn.com/"):
                  self.send_response(400)
                  self.end_headers()
                  return
              url_reader = urllib2.urlopen(pub_key_url)
              #you can cache it
              pub_key = url_reader.read() 
          except:
              print 'pub_key_url : ' + pub_key_url
              print 'Get pub key failed!'
              self.send_response(400)
              self.end_headers()
              return
          #get authorization
          authorization_base64 = self.headers['authorization']
          authorization = authorization_base64.decode('base64')
          #get callback body
          content_length = self.headers['content-length']
          callback_body = self.rfile.read(int(content_length))
          #compose authorization string
          auth_str = ''
          pos = self.path.find('?')
          if -1 == pos:
              auth_str = urllib2.unquote(self.path) + '\n' + callback_body
          else:
              auth_str = urllib2.unquote(self.path[0:pos]) + self.path[pos:] + '\n' + callback_body
          print auth_str
          #verify authorization
          auth_md5 = md5.new(auth_str).digest()
          bio = BIO.MemoryBuffer(pub_key)
          rsa_pub = RSA.load_pub_key_bio(bio)
          try:
              result = rsa_pub.verify(auth_md5, authorization, 'md5')
          except:
              result = False
          if not result:
              print 'Authorization verify failed!'
              print 'Public key : %s' % (pub_key)
              print 'Auth string : %s' % (auth_str)
              self.send_response(400)
              self.end_headers()
              return
          #do something according to callback_body
          #response to OSS
          resp_body = '{"Status":"OK"}'
          self.send_response(200)
          self.send_header('Content-Type', 'application/json')
          self.send_header('Content-Length', str(len(resp_body)))
          self.end_headers()
          self.wfile.write(resp_body)
  class MyHTTPServer(HTTPServer):
      def __init__(self, host, port):
          HTTPServer.__init__(self, (host, port), MyHTTPRequestHandler)
  if '__main__' == __name__:
      server_ip = get_local_ip()
  server_port = 23451
  server = MyHTTPServer(server_ip, server_port)
  server.serve_forever()

  其他語言的服務端代碼請參見下表。

  SDK語言	描述
  Java	下載地址：Java 運行方法：解壓包運行java -jar oss-callback-server-demo.jar 9000（9000指啟動並執行連接埠，可以自行指定）。
  Python	下載地址：Python 運行方法：解壓包直接運行python callback_app_server.py，運行該程式需要安裝RSA的依賴。
  Go	下載地址：Go 運行方法：解壓後參看README.md。
  PHP	下載地址：PHP 運行方法：部署到Apache環境下，因為PHP本身語言的特點，取一些資料頭部會依賴於環境。所以可以參考例子根據所在環境修改。
  .NET	下載地址：.NET 運行方法：解壓後參看README.md。
  Node.js	下載地址：Node.js 運行方法：解壓包直接運行node example.js。
  Ruby	下載地址：Ruby 運行方法：ruby aliyun_oss_callback_server.rb