文档

HTTP协议及签名

更新时间:

为方便其它语言能快速实现,在此增加了HTTP的详解

一、前言说明

云通信产品平台都提供了通过HTTP方式支撑多语言对接SDK 下面以判断设备是否存在(DoIotIsImeiExist) 举例

对应的协议是:

发送API采用Rest协议:签名算法使用了阿里云的POP协议

二、协议说明

由于POP的签名算法比较复杂,下面这里结合—判断设备是否存在(DoIotIsImeiExist)API一并详细说明

2.1判断设备是否存在(DoIotIsImeiExist) API的HTTP协议包示例

请求示例:

GET /?Signature=YjypUPcYBwdmb%2FLMWfrVx%2B61RKY%3D&AccessKeyId=testId&Action=DoIotIsImeiExist&Format=XML&Imei=123456&SignatureMethod=HMAC-SHA1&SignatureNonce=ea658de8-7f59-4eb2-923c-70e07f947e62&SignatureVersion=1.0&Timestamp=2018-07-11T08%3A17%3A08Z&Version=2017-11-11
HTTP/1.1
Host: dyiotapi.aliyuncs.com
...

返回示例:

HTTP/1.1 200 OK
...
<?xml version="1.0" encoding="utf-8"?>
<DoIotIsImeiExistResponse>
  <Message>OK</Message>
  <RequestId>E8534574-7381-4810-8F70-65B37BBA8970</RequestId>  
  <Code>OK</Code>
  <IotImeiExist>
    <IsImeiExist>true</IsImeiExist>  
  </IotImeiExist>
</DoIotIsImeiExistResponse>

2.2 判断设备是否存在(DoIotIsImeiExist)Rest请求参数

如HTTP示例包中,请求的参数可以分两大块:系统参数和业务参数。

系统参数

系统参数为POP协议的基本参数,有

参数KEY

是否必填

说明

AccessKeyId

访问密钥 ID。AccessKey 用于调用 API。

Timestamp

格式为:yyyy-MM-dd’T’HH:mm:ss’Z’;时区为:GMT

Format

没传默认为JSON,可选填值:XML

SignatureMethod

建议固定值:HMAC-SHA1

SignatureVersion

建议固定值:1.0

SignatureNonce

用于请求的防重放攻击,每次请求唯一,JAVA语言建议用:java.util.UUID.randomUUID()生成即可

Signature

最终生成的签名结果值

业务参数

参数KEY

是否必填

说明

Action

API的命名,固定值,如设备信息判重API的值为:DoIotIsImeiExist

Version

API的版本,固定值,如物联卡设备信息判重API的值为:2017-11-11

IMEI

物联网卡序列号, 例如123123

2.3 生成签名

签名是为了让请求合法,共分为五步:

第一步:请求参数

  1. 请求参数包括系统参数和业务参数,不要遗漏

  2. 请求参数中不允许出现以Signature为key的参数。参考代码如下

String accessKeyId = “testId”;String accessSecret = “testSecret”;
java.text.SimpleDateFormat df = new java.text.SimpleDateFormat(“yyyy-MM-dd’T’HH:mm:ss’Z’”);df.setTimeZone(new java.util.SimpleTimeZone(0, “GMT”));
// 这里一定要设置GMT时区
java.util.Map paras = new java.util.HashMap();
// 1. 系统参数paras.put(“SignatureMethod”, “HMAC-SHA1”);paras.put(“SignatureNonce”, java.util.UUID.randomUUID().toString());paras.put(“AccessKeyId”, accessKeyId);paras.put(“SignatureVersion”, “1.0”);paras.put(“Timestamp”, df.format(new java.util.Date()));paras.put(“Format”, “XML”);
// 2. 业务API参数paras.put(“Action”, “DoIotIsImeiExist”);paras.put(“Version”, “2017-11-11”); paras.put(“Imei”, “123123”);
// 3. 去除签名关键字Keyif (paras.containsKey(“Signature”)) paras.remove(“Signature”);

第二步:根据参数Key排序(顺序)

参考代码如下:

java.util.TreeMap sortParas = new java.util.TreeMap();sortParas.putAll(paras);

第三步:构造待签名的请求串

首先介绍下面会用到的特殊URL编码这个是POP特殊的一种规则,即在一般的URLEncode后再增加三种字符替换:加号(+)替换成 %20、星号(*)替换成 %2A、%7E 替换回波浪号(~)参考代码如下:

public static String specialUrlEncode(String value) throws Exception { return java.net.URLEncoder.encode(value, “UTF-8”).replace(“+”, “%20”).replace(“*”, “%2A”).replace(“%7E”, “~”);}

构造待签名的请求串这里有两步动作第1步,把排序后的参数顺序拼接成如下格式:

specialUrlEncode(参数Key) + "=" + specialUrlEncode(参数值)

参考代码如下:

java.util.Iterator it = sortParas.keySet().iterator();StringBuilder sortQueryStringTmp = new StringBuilder();while (it.hasNext()) { String key = it.next(); sortQueryStringTmp.append(“&”).append(specialUrlEncode(key)).append(“=”).append(specialUrlEncode(paras.get(key)));}String sortedQueryString = sortQueryStringTmp.substring(1);// 去除第一个多余的&符号

打印上面的sortQueryString结果如下:

AccessKeyId%3DtestId&Action%3DDoIotIsImeiExist&Format%3DXML&Imei%3D123123&SignatureMethod%3DHMAC-SHA1&SignatureNonce%3De538f847-fa76-430b-a151-ff88dd1e932e&SignatureVersion%3D1.0&Timestamp%3D2018-07-11T09%253A47%253A46Z&Version%3D2017-11-11

对应的未URL编码的值(方便用户对比):

AccessKeyId=testId&Action=DoIotIsImeiExist&Format=XML&Imei=123123&SignatureMethod=HMAC-SHA1&SignatureNonce=e538f847-fa76-430b-a151-ff88dd1e932e&SignatureVersion=1.0&Timestamp=2018-07-11T09%3A47%3A46Z&Version=2017-11-11

第2步,按POP的签名规则拼接成最终的待签名串,规则如下:

HTTPMethod + “&” + specialUrlEncode(“/”) + ”&” + specialUrlEncode(sortedQueryString)

参考代码如下:

StringBuilder stringToSign = new StringBuilder();stringToSign.append(“GET”).append(“&”);stringToSign.append(specialUrlEncode(“/“)).append(“&”);stringToSign.append(specialUrlEncode(sortedQueryString));

这就完成了待签名的请求字符串了

打印结果如下:

GET&%2F&AccessKeyId%3DtestId&Action%3DDoIotIsImeiExist&Format%3DXML&Imei%3D123123&SignatureMethod%3DHMAC-SHA1&SignatureNonce%3De538f847-fa76-430b-a151-ff88dd1e932e&SignatureVersion%3D1.0&Timestamp%3D2018-07-11T09%253A47%253A46Z&Version%3D2017-11-11

第四步:签名

签名采用HmacSHA1算法 + Base64,编码采用:UTF-8参考代码如下:

String sign = sign(accessSecret + “&”, stringToSign.toString());

public static String sign(String accessSecret, String stringToSign) throws Exception { javax.crypto.Mac mac = javax.crypto.Mac.getInstance(“HmacSHA1”); mac.init(new javax.crypto.spec.SecretKeySpec(accessSecret.getBytes(“UTF-8”), “HmacSHA1”)); byte[] signData = mac.doFinal(stringToSign.getBytes(“UTF-8”)); return new sun.misc.BASE64Encoder().encode(signData);}

参数说明:

  1. accessSecret:你的AccessKeyId对应的密钥AccessSecret,特别说明:POP要求需要后面多加一个“&”字符,即accessSecret + “&”

  2. stringToSign:即第三步生成的待签名请求串签名后的结果打印如下:bsPn2jLTdPMtVrHIVFL9K1SiHBw=

第五步:增加签名结果到请求参数中,发送请求

注意:签名也要做特殊URL编码

String Signature = specialUrlEncode(sign);// bsPn2jLTdPMtVrHIVFL9K1SiHBw%3D

最终完整的GET请求HTTP为:

http://dyiotapi.aliyuncs.com/?Signature=bsPn2jLTdPMtVrHIVFL9K1SiHBw%3D&AccessKeyId=testId&Action=DoIotIsImeiExist&Format=XML&Imei=123123&SignatureMethod=HMAC-SHA1&SignatureNonce=e538f847-fa76-430b-a151-ff88dd1e932e&SignatureVersion=1.0&Timestamp=2018-07-11T09%3A47%3A46Z&Version=2017-11-11

三、附加完整的Java签名Demo代码

 public static void main(String[] args) throws Exception {
        String accessKeyId = "testId";
        String accessSecret = "testSecret";
        java.text.SimpleDateFormat df = new java.text.SimpleDateFormat("yyyy-MM-dd'T'HH:mm:ss'Z'");
        df.setTimeZone(new java.util.SimpleTimeZone(0, "GMT"));// 这里一定要设置GMT时区
        java.util.Map<String, String> paras = new java.util.HashMap<String, String>();
        // 1. 系统参数
        paras.put("SignatureMethod", "HMAC-SHA1");
        paras.put("SignatureNonce", java.util.UUID.randomUUID().toString());
        paras.put("AccessKeyId", accessKeyId);
        paras.put("SignatureVersion", "1.0");
        paras.put("Timestamp", df.format(new java.util.Date()));
        paras.put("Format", "XML");
        // 2. 业务API参数
        paras.put("Action", "DoIotIsImeiExist");
        paras.put("Version", "2017-11-11");

        paras.put("Imei", "123123");
        // 3. 去除签名关键字Key
        if (paras.containsKey("Signature"))
            paras.remove("Signature");
        // 4. 参数KEY排序
        java.util.TreeMap<String, String> sortParas = new java.util.TreeMap<String, String>();
        sortParas.putAll(paras);
        // 5. 构造待签名的字符串
        java.util.Iterator<String> it = sortParas.keySet().iterator();
        StringBuilder sortQueryStringTmp = new StringBuilder();
        while (it.hasNext()) {
            String key = it.next();
            sortQueryStringTmp.append("&").append(specialUrlEncode(key)).append("=").append(specialUrlEncode(paras.get(key)));
        }
        String sortedQueryString = sortQueryStringTmp.substring(1);// 去除第一个多余的&符号
        StringBuilder stringToSign = new StringBuilder();
        stringToSign.append("GET").append("&");
        stringToSign.append(specialUrlEncode("/")).append("&");
        stringToSign.append(specialUrlEncode(sortedQueryString));
        String sign = sign(accessSecret + "&", stringToSign.toString());
        // 6. 签名最后也要做特殊URL编码
        String signature = specialUrlEncode(sign);
        System.out.println(paras.get("SignatureNonce"));
        System.out.println("\r\n=========\r\n");
        System.out.println(paras.get("Timestamp"));
        System.out.println("\r\n=========\r\n");
        System.out.println(sortedQueryString);
        System.out.println("\r\n=========\r\n");
        System.out.println(stringToSign.toString());
        System.out.println("\r\n=========\r\n");
        System.out.println(sign);
        System.out.println("\r\n=========\r\n");
        System.out.println(signature);
        System.out.println("\r\n=========\r\n");
        // 最终打印出合法GET请求的URL
        System.out.println("http://dyiotapi.aliyuncs.com/?Signature=" + signature + sortQueryStringTmp);
    }
    public static String specialUrlEncode(String value) throws Exception {
        return java.net.URLEncoder.encode(value, "UTF-8").replace("+", "%20").replace("*", "%2A").replace("%7E", "~");
    }
    public static String sign(String accessSecret, String stringToSign) throws Exception {
        javax.crypto.Mac mac = javax.crypto.Mac.getInstance("HmacSHA1");
        mac.init(new javax.crypto.spec.SecretKeySpec(accessSecret.getBytes("UTF-8"), "HmacSHA1"));
        byte[] signData = mac.doFinal(stringToSign.getBytes("UTF-8"));
        return new sun.misc.BASE64Encoder().encode(signData);
    }
  • 本页导读 (1)
文档反馈