使用标准策略设置签名 Cookie

使用标准策略设置签名 Cookie

1. 如果您要使用 .NET 和 Java 创建签名 Cookie，但尚未将密钥对私有密钥的格式从默认 .pem 格式重新设置为与 .NET 和 Java 兼容的格式，请立即执行该操作。有关更多信息，请参阅重新设置密钥对的格式（仅限 .NET 和 Java）。。

2. 将应用程序编程为向批准的查看器发送三个 Set-Cookie 标头。您之所以需要三个 Set-Cookie 标头，是因为每个 Set-Cookie 标头只能包含一个名称值对，而 CloudFront 签名 Cookie 需要三个名称值对。名称值对为：CloudFront-Expires、CloudFront-Signature 和 CloudFront-Key-Pair-Id。在用户首次请求您希望控制访问权的文件时，查看器中必须包含这些值。

   注意

   一般情况下，建议排除 Expires 和 Max-Age 属性。如果排除这些属性，那么当用户关闭浏览器时，浏览器会删除 Cookie，这降低了其他人非法访问内容的可能性。有关更多信息，请参阅防止滥用签名 Cookie。

   Cookie 属性的名称区分大小写。

   包含换行符的目的只是为了让属性的可读性更佳。

   Set-Cookie: 
   CloudFront-Expires=date and time in Unix time format (in seconds) and Coordinated Universal Time (UTC); 
   Domain=optional domain name; 
   Path=/optional directory path; 
   Secure; 
   HttpOnly
   
   Set-Cookie: 
   CloudFront-Signature=hashed and signed version of the policy statement; 
   Domain=optional domain name; 
   Path=/optional directory path; 
   Secure; 
   HttpOnly
   
   Set-Cookie: 
   CloudFront-Key-Pair-Id=public key ID for the CloudFront public key whose corresponding private key you're using to generate the signature; 
   Domain=optional domain name; 
   Path=/optional directory path; 
   Secure; 
   HttpOnly

   （可选）Domain

   所请求文件的域名。如果不指定 Domain 属性，则默认值是 URL 中的域名，它仅适用于指定的域名，而不适用于子域。如果指定 Domain 属性，它还将适用于子域。可以选择在域名前加一个句点 (例如 Domain=.example.com)。此外，如果指定 Domain 属性，那么 URL 中的域名则必须与 Domain 属性的值匹配。

   可以指定 CloudFront 为您的分配指定的域名（例如 d111111abcdef8.cloudfront.net），但不能为域名指定 *.cloudfront.net。

   如果希望在 URL 中使用备用域名 (如 example.com)，则必须向分配添加备用域名，而无论是否指定 Domain 属性。有关更多信息，请参阅 备用域名 (CNAME) 主题中的 您创建或更新分配时指定的值。

   （可选）Path

   所请求文件的路径。如果未指定 Path 属性，则默认值是 URL 中的路径。

   Secure

   要求查看器先加密 Cookie，然后再发送请求。建议通过 HTTPS 连接发送 Set-Cookie 标头，以确保 Cookie 受到保护，而不会受到中间人攻击。

   HttpOnly

   要求查看器仅在 HTTP 或 HTTPS 请求中发送 Cookie。

   CloudFront-Expires

   指定 Unix 时间格式（以秒为单位） 和协调通用时间 (UTC) 格式的过期日期和时间。例如，2013 年 1 月 1 日上午 10 点 UTC 转换为 Unix 时间格式就是 1357034400。要使用纪元时间，请使用 32 位整数表示日期，该日期不得晚于 2147483647（2038 年 1 月 19 日，03:14:07 UTC）。有关 UTC 的信息，请参阅 RFC 3339，Internet 上的日期和时间：时间戳，网址为 https://tools.ietf.org/html/rfc3339。

   CloudFront-Signature

   JSON 策略声明经过哈希处理、签署和 Base64 编码的版本。有关更多信息，请参阅为使用标准策略的签名 Cookie 创建签名。

   CloudFront-Key-Pair-Id

   CloudFront 公有密钥的 ID，例如，K2JCJMDEHXQW5F。公有密钥 ID 告诉 CloudFront 要使用哪个公有密钥来验证签名的 URL。CloudFront 将比较签名中的信息与策略声明中的信息，以确认该 URL 没有被篡改。

   此公有密钥必须属于作为分配中可信签署人的密钥组。有关更多信息，请参阅指定可以创建签名 URL 和签名 Cookie 的签署人。

1. 创建策略声明。请参阅为使用标准策略的签名 Cookie 创建策略声明。

2. 签署策略声明以创建签名。请参阅签署策略声明，以便为使用标准策略的签名 Cookie 创建签名。

为使用标准策略的签名 Cookie 创建策略声明

1. 使用以下 JSON 格式以及 UTF-8 字符编码构建策略声明。根据指定，准确包括所有标点符号和其他文本值。有关 Resource 和 DateLessThan 参数的信息，请参阅 在策略声明中为使用标准策略的签名 Cookie 指定的值。

   {
       "Statement": [
           {
               "Resource": "base URL or stream name",
               "Condition": {
                   "DateLessThan": {
                       "AWS:EpochTime": ending date and time in Unix time format and UTC
                   }
               }
           }
       ]
   }

2. 删除策略声明中的所有空格（包括制表符和换行符）。您可能需要在应用程序代码的字符串中包括换码符。

为使用标准策略的签名 Cookie 创建签名

1. 使用 SHA-1 哈希函数和 RSA 对在为使用标准策略的签名 Cookie 创建策略声明过程中创建的策略声明进行哈希处理并签署。请使用不再包含空格的策略声明版本。

   对于哈希函数所需的私有密钥，请使用其公有密钥位于分配的活动可信密钥组中的私有密钥。

   注意

   您用于哈希及签署策略声明的方法取决于您的编程语言和平台。有关示例代码，请参阅 为签名 URL 创建签名的代码示例。

2. 删除经过哈希处理并签署的字符串中的空格（包括制表符和换行符）。

3. 使用 MIME Base64 编码对字符串进行 Base64 编码。有关更多信息，请参阅 RFC 2045, MIME (Multipurpose Internet Mail Extensions) Part One: Format of Internet Message Bodies 中的 Section 6.8, Base64 Content-Transfer-Encoding。

4. 用有效的字符替换 URL 查询字符串中的无效字符。下表列出了无效和有效字符。

   替换这些无效字符	使用这些有效字符
   +	- (连字符)
   =	_（下划线）
   /	~（波浪字符）

5. 在 Set-Cookie 名称值对的 CloudFront-Signature 标头中包含结果值。然后返回到使用标准策略设置签名 Cookie为 Set-Cookie 添加 CloudFront-Key-Pair-Id 标头。