api - 带有 SHA512-hmac 签名的 REST 请求正文的 Coldfusion CFHTTP

Question

我正在尝试向 bitfloor.com 上的交易 API 发出签名请求(这是一个 REST API)

Bitfloor 给了我:

1) API key (即 6bd2b780-00be-11e2-bde3-2837371c3c3a)

2) key (即 oaFz62YpmbWiXwseMUSod53D8pOjdyVcweNYdiab/TSQqxk6IuemDvimNaQoA==)

以下是 Bitfloor 发出请求的确切说明:

请求必须是端口 443 (https) 上的 HTTPS POST 请求。每个请求都必须包含所需的 header (如下所列)。 header 识别、验证和验证您的请求以防止篡改。
标题

bitfloor-key 这是由 bitfloor 提供的，用于唯一标识您的帐户。 (即 6bd2b780-00be-11e2-bde3-2837371c3c3a)

bitfloor-sign sign 字段是使用与您的 api key 相对应的 key 的请求正文的 sha512-hmac。

签署您的请求:base64 将 key 解码为原始字节(64 字节)。将这些字节用于 http 请求正文的 sha512-hmac 签名。 Base64 对签名结果进行编码并在此 header 字段中发送。

bitfloor-密码您在创建此 API key 时指定的密码。如果忘记，我们将无法恢复您的密码。您将需要创建一个新的 API key 。

bitfloor 版本 您感兴趣的资源的 api 版本。当前唯一有效值是 1

经过整整八小时的反复试验并反复在互联网上搜索任何类型的见解或信息，以下代码尽可能接近我认为可能在如何正确构建请求的方向上的某处，唉，无论我尝试什么，我都会得到他们的 API 返回的“无效签名”。

这是我到目前为止...

首先，我在网上找到了有人写的做 SHA512 签名的这个函数:

<cffunction name="HMAC_SHA512" returntype="binary" access="public" output="false">
    <cfargument name="signKey" type="string" required="true">
    <cfargument name="signMessage" type="string" required="true">

    <cfset var jMsg = JavaCast("string",arguments.signMessage).getBytes("iso-8859-1")>
    <cfset var jKey = JavaCast("string",arguments.signKey).getBytes("iso-8859-1")>
    <cfset var key  = createObject("java","javax.crypto.spec.SecretKeySpec")>
    <cfset var mac  = createObject("java","javax.crypto.Mac")>
    <cfset key  = key.init(jKey,"HmacSHA512")>
    <cfset mac  = mac.getInstance(key.getAlgorithm())>
    <cfset mac.init(key)>
    <cfset mac.update(jMsg)>
    <cfreturn mac.doFinal()>
</cffunction>

我不知道它是做什么的，但它似乎可以工作并且没有错误。

这是我对这个函数的实现以及我提出请求的尝试:
注意:“nonce”值是必须与请求一起发送的必需参数。

<cffunction name="myorders">
    <cfset nonce        = dateDiff("s",createDateTime(2012,01,01,0,0,0),now())>
    <cfset requestbody  = "?nonce=#nonce#">
    <cfset key      = "oaFz62YpmbWiXwseMUSod53D8pOjdyVcweNYdiab/TSQqxk6IuemDvimNaQoA==">
    <cfset sign     = HMAC_SHA512(key,requestbody)>
    <cfset signed       = binaryEncode(sign,"Base64")>

    <!--- HTTP REQUEST --->
    <cfhttp url = "https://api.bitfloor.com/orders#requestbody#"
        method  = "post"
        result  = "bitfloor">

    <!--- HEADERS --->
    <cfhttpparam
        type    = "body"
        value   = requestbody>
    <cfhttpparam
        type    = "header"
        name    = "bitfloor-key"
        value   = "6bd2b780-00be-11e2-bde3-2837371c3c3a">
    <cfhttpparam
        type    = "header"
        name    = "bitfloor-sign"
        value   = signed>
    <cfhttpparam
        type    = "header"
        name    = "bitfloor-passphrase"
        value   = "mysecretpassphrase">
    <cfhttpparam
        type    = "header"
        name    = "bitfloor-version"
        value   = "1">
    </cfhttp>
</cffunction>

我认为我的大部分困惑来自不知道“请求主体”是什么。我觉得我可能没有签署正确的东西。

我希望有一个熟悉签名请求的 Coldfusion 程序员。我已经无计可施了。

请帮忙!合十礼

Answer 1

我没有使用过那个 api，但我进行了一些测试，它似乎可以通过以下调整工作:

自 secretKey值是 base64 编码的，您的签名功能需要使用 binaryDecode正确提取字节。使用 String.getBytes(...)产生完全不同(和错误)的结果。

预期的请求正文值只是:nonce=#nonceValue# (不带前导 "?")

似乎需要 Content-Type=application/x-www-form-urlencoded header ，否则解析内容失败，响应为:{"error":"no nonce specified"}

代码

 <cfset apiKey = "6bd2b780-00be-11e2-bde3-2837371c3c3a">
 <cfset secretKey = "oaFz62YpmbWiXwseMUSod53D8pOjdyVcweNYdiab/TSQqxk6IuemDvimNaQoA==">
 <cfset passphrase = "your secret phrase">

 <cfset requestBody  = "nonce="& now().getTime()>
 <cfset signBytes    = HMAC_SHA512(secretKey, requestbody)>
 <cfset signBase64   = binaryEncode(signBytes, "base64")>

 <cfhttp url="https://api.bitfloor.com/orders" method="post" port="443" result="bitfloor">
    <cfhttpparam type="header" name="Content-Type" value="application/x-www-form-urlencoded">
    <cfhttpparam type="header" name="bitfloor-key" value="#apiKey#">
    <cfhttpparam type="header" name="bitfloor-sign" value="#signBase64#">
    <cfhttpparam type="header" name="bitfloor-passphrase" value="#passphrase#">
    <cfhttpparam type="header" name="bitfloor-version" value="1">
    <cfhttpparam type="body" value="#requestBody#">
 </cfhttp>

 <cfdump var="#bitfloor#" label="Response">

<cffunction name="HMAC_SHA512" returntype="binary" access="public" output="false">
    <cfargument name="base64Key" type="string" required="true">
    <cfargument name="signMessage" type="string" required="true">
    <cfargument name="encoding" type="string" default="UTF-8">

     <cfset var messageBytes = JavaCast("string",arguments.signMessage).getBytes(arguments.encoding)>
     <cfset var keyBytes = binaryDecode(arguments.base64Key, "base64")>
     <cfset var key  = createObject("java","javax.crypto.spec.SecretKeySpec")>
     <cfset var mac  = createObject("java","javax.crypto.Mac")>
     <cfset key  = key.init(keyBytes,"HmacSHA512")>
     <cfset mac  = mac.getInstance(key.getAlgorithm())>
     <cfset mac.init(key)>
     <cfset mac.update(messageBytes)>

     <cfreturn mac.doFinal()>
</cffunction>