AWS SDK示例解析：使用Python实现AWS Signature Version 4签名-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00413/article/details/148417325

AWS SDK示例解析：使用Python实现AWS Signature Version 4签名

aws-doc-sdk-examples Welcome to the AWS Code Examples Repository. This repo contains code examples used in the AWS documentation, AWS SDK Developer Guides, and more. For more information, see the Readme.md file below. 项目地址: https://gitcode.com/gh_mirrors/aw/aws-doc-sdk-examples

概述

在AWS服务调用过程中，身份验证是确保请求安全性的关键环节。AWS Signature Version 4（SigV4）是AWS当前使用的签名协议，用于验证API请求的合法性。本文将通过分析一个Python实现的SigV4签名示例，深入讲解其工作原理和实现细节。

为什么需要手动签名

虽然AWS SDK会自动处理签名过程，但在某些特殊场景下，开发者可能需要自行实现签名逻辑：

使用非AWS官方SDK的语言环境
需要深度定制请求处理流程
学习AWS安全机制的工作原理

签名过程详解

AWS SigV4签名过程可分为四个主要任务：

任务1：创建规范化请求(Canonical Request)

规范化请求是将HTTP请求转换为标准格式的过程，包括以下步骤：

HTTP方法：如GET、POST等
规范化URI：通常是正斜杠(/)
规范化查询字符串：参数需按名称排序并URL编码
规范化头部：头部名称需小写并按字母顺序排列
签名头部列表：列出参与签名的头部
有效负载哈希：对请求体进行SHA256哈希

canonical_request = (
    method + "\n" 
    + canonical_uri + "\n" 
    + canonical_querystring + "\n" 
    + canonical_headers + "\n" 
    + signed_headers + "\n" 
    + payload_hash
)

任务2：创建待签名字符串(String to Sign)

待签名字符串包含签名元信息：

算法标识：固定为"AWS4-HMAC-SHA256"
请求时间戳：ISO8601格式
凭证范围：日期、区域、服务和终止字符串
规范化请求哈希：对规范化请求进行SHA256哈希

string_to_sign = (
    algorithm + "\n" 
    + amzdate + "\n" 
    + credential_scope + "\n" 
    + hashlib.sha256(canonical_request.encode("utf-8")).hexdigest()
)

任务3：计算签名

签名计算采用分层HMAC-SHA256加密：

使用秘密访问密钥派生初始密钥
依次使用日期、区域和服务信息派生中间密钥
最终生成签名密钥

def getSignatureKey(key, dateStamp, regionName, serviceName):
    kDate = sign(("AWS4" + key).encode("utf-8"), dateStamp)
    kRegion = sign(kDate, regionName)
    kService = sign(kRegion, serviceName)
    kSigning = sign(kService, "aws4_request")
    return kSigning

任务4：将签名信息添加到请求

签名信息可通过两种方式添加到请求中：

查询字符串：适用于无法修改请求头的情况
Authorization头：推荐方式，如示例所示

authorization_header = (
    algorithm + " " 
    + "Credential=" + access_key + "/" + credential_scope + ", " 
    + "SignedHeaders=" + signed_headers + ", " 
    + "Signature=" + signature
)