python - 使用 python 的 sigv4-post-example

Question

我正在尝试从 http://docs.aws.amazon.com/AmazonS3/latest/API/sigv4-post-example.html 生成相同的签名使用 python，

DateKey = hmac.new(b'AWS4wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY', b'20151229', hashlib.sha256).digest()

DateRegionKey = hmac.new(DateKey, b'us-east-1', hashlib.sha256).digest()

DateRegionServiceKey = hmac.new(DateRegionKey, b's3', hashlib.sha256).digest()

SigningKey = hmac.new(DateRegionServiceKey, b'aws4_request', hashlib.sha256).digest()

signature = hmac.new(other_policy, SigningKey, hashlib.sha256).hexdigest()

但我的签名是cb0b0ec487fd5e01382c9c3b6b6a6dfa170da312ddab58a4b18869e7413951be预期的签名是 46503978d3596de22955b4b18d6dfb1d54e8c5958727d5bdcd02cc1119c60fc9

我哪里做错了？

注意

other_policy = b'''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'''

来自 http://docs.aws.amazon.com/AmazonS3/latest/API/sigv4-post-example.html

Answer 1

代码中的错误

您生成签名 key 的代码看起来不错。但是，当您生成签名时，参数会被调换。伪代码是:

Hex(HMAC-SHA256(SigningKey, StringToSign))

所以代替

signature = hmac.new(other_policy, SigningKey, hashlib.sha256).hexdigest()

你应该有

signature = hmac.new(SigningKey, other_policy, hashlib.sha256).hexdigest()

还是错了？

这会产生以下签名，尽管有 Amazon 文档，但我认为对于提供的 base64 字符串进行签名是正确的:

8afdbf4008c03f22c2cd3cdb72e4afbb1f6a588f3255ac628749a66d7f09699e

那么为什么亚马逊说签名应该是465039...c60fc9？？？

很抱歉，我不知道。我怀疑文档实际上可能不准确，无论是关于签名值还是关于用于生成它的输入参数值( key 、日期、区域、服务、要签名的字符串)。

我确实觉得我有点冒昧地提出这样的建议，但与此同时，我从经验中知道，并非所有在线技术文档都是 100% 准确的(即使是由信誉良好的来源)。

无论我怎样尝试，我都无法重现这个签名。我喜欢看到成功生成此散列的答案。

证据

这里实际上只发生了两件事:

• 计算签名 key 。
• 将其与“要签名的字符串”一起传递给哈希函数，以生成签名。

您的代码使用 "Deriving the Signing Key with Other Languages" here 下示例中的参数生成预期的签名 key .这表明您正在正确计算签名 key 。 Python 代码 here .

当使用来自 this example 的参数时，您的代码也会产生预期的签名.这表明您正在计算正确的签名 key 和正确的签名。 Python 代码 here .

通过一些我知道可用于多种服务(基于 this )的现有 Python 代码运行您问题中的参数也会产生相同的 8afdb...9699e 签名。

我还扔了 java signing code into an existing spring boot application ，它还会为您的输入参数生成相同的 8afdb...9699e 签名。

尝试什么？

我建议您假设您的签名代码是好的，并且此特定页面上的 AWS 文档是错误的。毕竟，您的代码至少可以与其他两个 AWS 示例一起正常工作。

签署真实请求，使用您凭证、您存储桶策略、您区域、当前日期等

然后发布示例表单，看看它是否有效。如果它不起作用，您可以使用从表单 POST 中获得的错误更新问题。

更新(2018 年 7 月 15 日)

AWS 已更新其文档，并且 this page现在包含正确的签名。版本不正确can be viewed here , 出于历史目的。

有趣的是，回溯机器表明该页面至少在 2017 年 6 月 23 日之前都是正确的。到 7 月 14 日，它已更改为错误的签名，并且至少一直保持到 12 月 19 日， 2017 年(超过 5 个月!)。