使用标准策略设置签名 Cookie

如果您要使用 .NET 和 Java 创建签名 Cookie，但尚未将密钥对私有密钥的格式从默认 .pem 格式重新设置为与 .NET 和 Java 兼容的格式，请立即执行该操作。有关更多信息，请参阅 重新设置私有密钥的格式（仅限 .NET 和 Java）。

将应用程序编程为向批准的查看器发送三个 Set-Cookie 标头。您之所以需要三个 Set-Cookie 标头，是因为每个 Set-Cookie 标头只能包含一个名称-值对，而 CloudFront 签名 Cookie 需要三个名称-值对。名称值对为：CloudFront-Expires、CloudFront-Signature 和 CloudFront-Key-Pair-Id。在用户首次请求您希望控制访问权的文件时，查看器中必须包含这些值。

Cookie 属性的名称区分大小写。

包含换行符的目的只是为了让属性的可读性更佳。

Set-Cookie: 
CloudFront-Expires=date and time in Unix time format (in seconds) and Coordinated Universal Time (UTC); 
Domain=optional domain name; 
Path=/optional directory path; 
Secure; 
HttpOnly

Set-Cookie: 
CloudFront-Signature=hashed and signed version of the policy statement; 
Domain=optional domain name; 
Path=/optional directory path; 
Secure; 
HttpOnly

Set-Cookie: 
CloudFront-Key-Pair-Id=public key ID for the CloudFront public key whose corresponding private key you're using to generate the signature; 
Domain=optional domain name; 
Path=/optional directory path; 
Secure; 
HttpOnly

使用以下 JSON 格式以及 UTF-8 字符编码构建策略声明。根据指定，准确包括所有标点符号和其他文本值。有关 Resource 和 DateLessThan 参数的信息，请参阅 在策略声明中为使用标准策略的签名 Cookie 指定的值。

{
    "Statement": [
        {
            "Resource": "base URL or stream name",
            "Condition": {
                "DateLessThan": {
                    "AWS:EpochTime": ending date and time in Unix time format and UTC
                }
            }
        }
    ]
}

删除策略声明中的所有空格（包括制表符和换行符）。您可能需要在应用程序代码的字符串中包括换码符。

使用 SHA-1 哈希函数和 RSA 对在为使用标准策略的签名 Cookie 创建策略声明过程中创建的策略声明进行哈希处理并签署。使用不再包含空格的策略声明版本。

对于哈希函数所需的私有密钥，请使用其公有密钥位于分配的活动可信密钥组中的私有密钥。

删除经过哈希处理并签署的字符串中的空格（包括制表符和换行符）。

使用 MIME Base64 编码对字符串进行 Base64 编码。有关更多信息，请参阅 RFC 2045, MIME (Multipurpose Internet Mail Extensions) Part One: Format of Internet Message Bodies 中的 Section 6.8, Base64 Content-Transfer-Encoding。

用有效的字符替换 URL 查询字符串中的无效字符。下表列出了无效和有效字符。

在 Set-Cookie 名称-值对的 CloudFront-Signature 标头中包含结果值。然后返回到使用标准策略设置签名 Cookie为 CloudFront-Key-Pair-Id 添加 Set-Cookie 标头。