创建已签名的 Amazon API 请求

• HTTPMethod – HTTP 方法，例如 GET、PUT、HEAD 和 DELETE。

• CanonicalUri：绝对路径组件 URI 的 URI 编码版本，以域名后面的 / 开头，直至字符串结尾处，或者如果包含查询字符串参数，则直至问号字符（?）。如果绝对路径为空，则使用正斜杠字符（/）。以下示例中的 URI /amzn-s3-demo-bucket/myphoto.jpg 是绝对路径，并且您无需在绝对路径中对 / 进行编码：

  http://s3.amazonaws.com/amzn-s3-demo-bucket/myphoto.jpg

• CanonicalQueryString – URI 编码的查询字符串参数。您可以单独对每个名称和值进行 URI 编码。您还必须按键名称的字母顺序对规范查询字符串中的参数进行排序。编码后进行排序。以下 URI 示例中的查询字符串是：

  http://s3.amazonaws.com/amzn-s3-demo-bucket?prefix=somePrefix&marker=someMarker&max-keys=2

  规范查询字符串如下所示（为便于阅读，此示例中添加了换行符：）：

  UriEncode("marker")+"="+UriEncode("someMarker")+"&"+
  UriEncode("max-keys")+"="+UriEncode("20") + "&" +
  UriEncode("prefix")+"="+UriEncode("somePrefix")

  当请求针对子资源时，相应的查询参数值将为空字符串（""）。例如，以下 URI 标识了 amzn-s3-demo-bucket 存储桶上的 ACL 子资源：

  http://s3.amazonaws.com/amzn-s3-demo-bucket?acl

  在这种情况下，CanonicalQueryString 将为：

  UriEncode("acl") + "=" + ""

  如果 URI 不包含 ?，则请求中没有查询字符串，并且您需要将规范查询字符串设置为空字符串（""）。您仍然需要包含换行符 ("\n")。

• CanonicalHeaders：请求标头及其值的列表。各个标头名称和值对用换行符（"\n"）分隔。以下是 CanonicalHeader 的示例：

  Lowercase(<HeaderName1>)+":"+Trim(<value>)+"\n"
  Lowercase(<HeaderName2>)+":"+Trim(<value>)+"\n"
  ...
  Lowercase(<HeaderNameN>)+":"+Trim(<value>)+"\n"

  CanonicalHeaders 列表必须包含以下内容：

  • HTTP host 标头。

  • 如果请求中存在 Content-Type 标头，则必须将其添加到 CanonicalHeaders 列表中。

  • 此外，还必须添加计划在请求中包含的所有 x-amz-* 标头。例如，如果您使用临时安全凭证，则请求中必须包含 x-amz-security-token。您必须将此标头添加到 CanonicalHeaders 列表中。

  • 对于 SigV4a，您必须包含一个区域集标头，该标头指定请求将在哪一组区域中生效。标头 X-Amz-Region-Set 被指定为逗号分隔值的列表。下面的示例显示一个区域标头，该标头允许在 us-east-1 和 us-west-1 区域中进行请求。

    X-Amz-Region-Set=us-east-1,us-west-1

    您可以在区域中使用通配符（*）来指定多个区域。在下面的示例中，标头允许在 us-west-1 和 us-west-2 中进行请求。

    X-Amz-Region-Set=us-west-*

  注意

  x-amz-content-sha256 标题是 Amazon S3 Amazon 请求所必需的。它将提供请求负载的哈希。如果不包含有效负载，则必须提供空字符串的哈希值。

  每个标头名称必须：

  • 使用小写字符。

  • 按字母顺序显示。

  • 后跟冒号（:）。

  对于值，您必须：

  • 去除任何前导空格或尾随空格。

  • 将连续空格转换为单个空格。

  • 使用逗号分隔多值标头的值。

  • 签名中必须包含 host 标头（HTTP/1.1）或 :authority 标头（HTTP/2）以及任何 x-amz-* 标头。签名中也可以包含其他标准标头，例如 content-type。

  上一部分介绍了本示例中使用的 Lowercase() 和 Trim() 函数。

  以下是示例 CanonicalHeaders 字符串。标头名称为小写且已排序。

  host:s3.amazonaws.com
  x-amz-content-sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
  x-amz-date:20130708T220855Z

  注意

  为了计算授权签名，只有主机以及任何 x-amz-* 标头为必填项；但是，为了防止数据篡改，您应该考虑在签名计算中包含其他标头。

  请勿包含会在复杂系统传输中频繁更改的逐跳标头。这包括所有由代理、负载均衡器和分布式系统中的节点改变的易失性传输标头，包括 connection、x-amzn-trace-id、user-agent、keep-alive、transfer-encoding、TE、trailer、upgrade、proxy-authorization 和 proxy-authenticate。

• SignedHeaders：按字母顺序排序、以分号分隔的小写请求标头名称列表。列表中的请求标头与您在 CanonicalHeaders 字符串中包含的标头相同。对于前面的示例，SignedHeaders 的值如下：

  host;x-amz-content-sha256;x-amz-date

• HashedPayload – 使用 HTTP 请求正文中的负载作为哈希函数的输入创建的字符串。此字符串使用小写十六进制字符。

  Hex(SHA256Hash(<payload>>))

  如果请求中不包含有效负载，则计算空字符串的哈希值，例如，当使用 GET 请求检索对象时，有效负载中没有任何内容。

  Hex(SHA256Hash(""))

  注意

  对于 Amazon S3，请在构造规范请求时包含文字字符串 UNSIGNED-PAYLOAD，并在发送请求时设置与 x-amz-content-sha256 标头值相同的值。

  Hex(SHA256Hash("UNSIGNED-PAYLOAD"))

• Algorithm – 用于创建规范请求的哈希的算法。

  • SigV4 – 使用 AWS4-HMAC-SHA256 指定 HMAC-SHA256 哈希算法。

  • SigV4a – 使用 AWS4-ECDSA-P256-SHA256 指定 ECDSA-P256-SHA-256 哈希算法。

• RequestDateTime – 在凭证范围内使用的日期和时间。该值是采用 ISO 8601 格式的当前 UTC 时间（例如 20130524T000000Z）。

• CredentialScope：凭证范围，将生成的签名限制在指定的区域和服务范围内。

  • SigV4 – 凭证包括访问密钥 ID、YYYYMMDD 格式的日期、区域代码、服务代码和 aws4_request 终止字符串，用斜杠（/）分隔。区域代码、服务代码和终止字符串必须使用小写字符。字符串具有以下格式：YYYYMMDD/region/service/aws4_request。

  • SigV4a – 凭证包括 YYYYMMDD 格式的日期、服务名称和 aws4_request 终止字符串，用斜杠（/）分隔。请注意，凭证范围不包括区域，因为该区域包含在单独的标头 X-Amz-Region-Set 中。字符串具有以下格式：YYYYMMDD/service/aws4_request。

• HashedCanonicalRequest：上一步中计算出的规范请求的哈希。

必填项

• Key – 包含您的秘密访问密钥的字符串。

• Date – 包含在凭证范围中使用的日期的字符串，格式为 YYYYMMDD。

• Region – 包含区域代码的字符串（例如，us-east-1）。

  有关区域字符串的列表，请参阅 Amazon Web Services 一般参考 中的 Regional Endpoints。

• Service – 包含服务代码的字符串（例如，ec2）。

• 在上一步中创建的要签名的字符串。