Java 中的 Amazon S3 策略签名

Question

由于某种原因，我在为 Amazon S3 上传策略生成签名方面遇到困难。我发誓我曾经有过这个工作，但现在不再工作了。任何帮助将不胜感激。我需要一双新的眼睛。

与 Amazon S3 Signature Tester 的输出进行比较时，我不是获得相同的签名。但是，当我直接使用该工具中的签名时，一切正常。所以问题肯定出在我的签名过程中。此外，从该工具中出来的“要签名的字符串”十六进制解码与我正在签名的输入策略相同。

AWS 文档说构建策略签名的过程应该进行像这样：

1. 使用 UTF-8 对策略进行编码。
2. 使用 Base64 对这些 UTF-8 字节进行编码。
3. 使用 HMAC SHA-1 使用您的秘密访问密钥签署策略。
4. 使用 Base64 对 SHA-1 签名进行编码。

看起来很简单。唯一含糊不清的地方可能是#3。 AWS 文档显示用于生成 HMAC-SHA1 的示例代码段，这是与 我见过的其他 Java 加密示例。

我正在使用 Base64 的 Apache Commons 实现 v1.6。我的签名代码基本上如下所示：

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import org.apache.commons.codec.binary.Base64;

/* ... */

private static final String UTF8 = "UTF-8";
private static final String HMACSHA1 = "HmacSHA1";

public static String sign(String secret, String data) {
    byte[] dataBytes = data.getBytes(UTF8);
    byte[] secretBytes = secret.getBytes(UTF8);

    SecretKeySpec signingKey = new SecretKeySpec(secretBytes, HMACSHA1);

    Mac mac = Mac.getInstance(HMACSHA1);
    mac.init(signingKey);
    byte[] signature = mac.doFinal(dataBytes);

    return Base64.encodeBase64String(signature);
}

然后我对此签名的用法如下所示：

String signature = sign(
    /* AWS Secret Access Key copied directly out of the AWS Console */,
    /* policy properly serialized as JSON */);

Answer 1

好吧，我找到了。显然今天我已经有效地跳过了第二步。我确实将策略 JSON 编码为 Base64，但随后我直接签署 JSON 字符串而不是 Base64 字符串。

第 3 步可能应该改写为“使用 HMAC SHA-1 使用您的秘密访问密钥签署 Base64 策略”。

我想我会保留这个以防其他人遇到类似的问题。

Answer 2

现在，该程序已得到官方支持。
http://aws.amazon.com/articles/1434

import sun.misc.BASE64Encoder;
import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;

String policy = (new BASE64Encoder()).encode(
policy_document.getBytes("UTF-8")).replaceAll("\n","").replaceAll("\r","");

Mac hmac = Mac.getInstance("HmacSHA1");
hmac.init(new SecretKeySpec(
aws_secret_key.getBytes("UTF-8"), "HmacSHA1"));
String signature = (new BASE64Encoder()).encode(
hmac.doFinal(policy.getBytes("UTF-8")))
.replaceAll("\n", "");

*注意此示例的窗口实现因为有些人从帖子的评论中发现了问题，并且那里还提供了问题的解决方案。

结果可以通过这个来验证
http://s3.amazonaws.com/doc/s3-example -code/post/post_sample.html

然而，有些人说这个“org.apache.commons.codec.binary.Base64”因此更好。
http://www.asgarli.net/2011/03/replacing-sunmiscbase64encoder -and.html

Answer 3

String policy_document =
      "{\"expiration\": \"2009-01-01T00:00:00Z\"," +
        "\"conditions\": [" +
          "{\"bucket\": \"s3-bucket\"}," +
          "[\"starts-with\", \"$key\", \"uploads/\"]," +
          "{\"acl\": \"private\"}," +
          "{\"success_action_redirect\": \"http://localhost/\"}," +
          "[\"starts-with\", \"$Content-Type\", \"\"]," +
          "[\"content-length-range\", 0, 1048576]" +
        "]" +
      "}";

    // Calculate policy and signature values from the given policy document and AWS credentials.
    String policy = new String(
        Base64.encodeBase64(policy_document.getBytes("UTF-8")), "ASCII");

    Mac hmac = Mac.getInstance("HmacSHA1");
    hmac.init(new SecretKeySpec(
        aws_secret_key.getBytes("UTF-8"), "HmacSHA1"));
    String signature = new String(
        Base64.encodeBase64(hmac.doFinal(policy.getBytes("UTF-8"))), "ASCII");