签名机制_调用方式_OpenAPI_Blink独享/共享集群（原产品线）_实时计算Flink版

阿里云通过使用Access Key ID和Access Key Secret对称加密方法对请求发送者的身份进行验证。因此使用HTTP协议或HTTPS协议提交请求时，都需要在请求中包含签名（Signature）信息。

通过在阿里云官网申请，您可以获取由阿里云官网授予的Access Key ID和Access Key Secret。

注意您的密钥信息仅用于身份验证，请勿透传给无关人员使用。

Access Key ID：标识访问者的身份。
Access Key Secret：加密签名字符串和服务器端验证签名字符串的密钥。

说明阿里云提供了多种语言的SDK及第三方SDK，可以免去您对签名算法进行编码的工作。详情请参见阿里云开发工具包（SDK）。

签名操作

您在使用API访问阿里云时，需要按照以下步骤对请求进行签名处理。

使用请求参数构造规范化的请求字符串（Canonicalized Query String）。
1. 参数排序。按照参数名称的字典顺序对请求中所有的请求参数（包括除Signature以外的公共请求参数和接口的自定义参数）进行排序。
  
  说明当使用GET方法提交请求时的参数信息，即请求URI中的参数部分（即URI中?之后由&连接的部分）。
2. 参数编码。对排序之后的请求参数的名称和值分别用UTF-8字符集进行URL编码。编码的规则如下：
  - 对于字符A~Z、a~z、0~9以及中划线（-）、下划线（_）、英文句号（.）、波浪号（~）不编码。
  - 对于其它字符编码成%XY的格式，其中XY是字符对应ASCII 码的16进制表示。例如，英文的双引号（”）对应的编码为%22。
  - 对于扩展的UTF-8字符，编码成%XY%ZA…的格式。
  - 英文空格要编码为%20，而不是加号（+）。
  该编码方式和通常采用的application/x-www-form-urlencoded MIME格式编码算法的实现（例如Java标准库中的java.net.URLEncoder）相似，但又有所不同。实现时，可以先用标准库的方式进行编码，然后把编码后的字符串中加号（+）替换成%20、星号（*）替换成%2A、%7E替换回波浪号（~），即可得到上述规则描述的编码字符串。该算法可以用下面的percentEncode方法实现。
```
private static final String ENCODING = "UTF-8";

private static String percentEncode(String value) throws UnsupportedEncodingException {
return value != null ? URLEncoder.encode(value, ENCODING).replace("+", "%20").replace("*", "%2A").replace("%7E", "~") : null;
}
```
3. 将编码后的参数名称和值用英文等号（=）进行连接。
4. 将等号连接得到的参数组合按照参数排序依次使用（&）符号连接，即得到规范化请求字符串。
将上一步构造的规范化字符串按照下面的规则构造成待签名的字符串。
```
StringToSign= HTTPMethod + “&” + percentEncode(“/”) + ”&” +
        percentEncode(CanonicalizedQueryString)
```
其中：
- HTTPMethod是提交请求用的HTTP方法，例如GET。
- percentEncode(“/”) 是按照参数排序中描述的URL编码规则对字符/进行编码得到的值，即%2F。
- percentEncode(CanonicalizedQueryString)是对步骤1中构造的规范化请求字符串按参数编码中描述的URL编码规则编码后得到的字符串。
按照RFC 2104的定义，计算待签名字符串StringToSign的HMAC值。

说明计算签名时使用的Key就是您持有的Access Key Secret加上一个&字符（ASCII:38），使用的哈希算法是SHA1。
按照Base64编码规则把上面的HMAC值编码成字符串，即得到签名值（Signature）。
将得到的签名值作为Signature参数添加到请求参数中，即完成对请求签名的过程。

说明得到的签名值在作为最后的请求参数值提交给ECS服务器时，要和其它参数一样，按照 RFC3986的规则进行URL编码。

示例

以DescribeRegions为例，假设使用的Access Key Id为testid， Access Key Secret为testsecret，则签名前的请求URL如下所示。

http://ecs.aliyuncs.com/
?TimeStamp=2016-02-23T12:46:24Z
&Format=XML
&AccessKeyId=testid
&Action=DescribeRegions
&SignatureMethod=HMAC-SHA1
&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26
&SignatureVersion=1.0

计算得到的待签名字符串StringToSign如下所示。

GET
&%2F
&AccessKeyId%3Dtestid
&Action%3DDescribeRegions
&Format%3DXML&SignatureMethod%3DHMAC-SHA1
&SignatureNonce%3D3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf
&SignatureVersion%3D1.0
&TimeStamp%3D2016-02-23T12%253A46%253A24Z
&Version%3D2014-05-26

因为Access Key Secret为testsecret，所以用于计算HMAC的Key为testsecret&，计算得到的签名值为CT9X0VtwR86fNWSnsc6v8YGOjuE=。

将签名作为Signature参数加入到URL请求中，最后得到的URL如下所示。

http://ecs.aliyuncs.com/
?SignatureVersion=1.0
&Action=DescribeRegions
&Format=XML
&SignatureNonce=3ee8c1b8-83d3-44af-a94f-4e0ad82fd6cf&Version=2014-05-26
&AccessKeyId=testid
&Signature=CT9X0VtwR86fNWSnsc6v8YGOjuE%3D
&SignatureMethod=HMAC-SHA1
&TimeStamp=2016-02-23T12%3A46%3A24Z