平台签名校验

本文为您介绍了如何生成请求签名。

对于每一次HTTPS(HTTP、Websocket)协议的请求，我们会根据访问中的签名信息验证访问请求者身份。具体由使用 APP Key和 APP Secret对称加密验证实现。其中 APP Key是获取访问授权的身份，APP Secret是加密签名字符串和服务器端验证签名字符串的密钥，必须严格保密谨防泄露。

请求规范

所有URL参数必须按照RFC3986规范进行URLEncode，其中空格同时支持%20和+，不同开发语言的用户基本可使用普遍的URLEncode实现

包含Body的请求，请求头必须指定正确的Content-Type和Content-Length

为防止重放攻击，请求包含一个随机串（见下一节），用户必须保证同一个应用（APP Key）在 4小时内的唯一性，否则请求将被拒绝（HTTP 403）

步骤一：构造请求头

通过 HTTP头提交公共签名参数，参数见下表：

HTTP Header	说明
X-OPA-APP-KEY	APP Key，在PaaS平台创建应用获得
X-OPA-TIMESTAMP	客户端当前时间戳，与服务器时差必须在24H以内
X-OPA-NONCE	随机串，建议使用UUID 或其他可保证唯一的方式处理
X-OPA-SIGN-METHOD	签名方法，目前支持 hmac-sha1（缺省）, hmac-sha256, hmac-sha521

步骤二：构造待签名字符串

请求签名为请求信息通过签名算法（HTTP头指定）以及APP Secret运算得到。下面步骤为构造请求签名原文的方法：

假设相关数据如下：

把URL参数的键按本地字序升序排列，构造出如下字符串SortedQueryString：

然后按照以下结构构造待签名字符串（去除拼接符+）

结果为：

步骤三：签名并附加参数

把步骤二的结果与APP Secret通过指定的签名方法获得请求的签名。

把上面结果通过参数名_signature附加到URL参数中，得到完整的请求如下（注意对签名结果的URLEncode）：

示例代码

以下提供完整的请求示例PHP代码以作参考

以下提供完整的请求示例Python代码以作参考

请求规范#

步骤一：构造请求头#

步骤二：构造待签名字符串#

步骤三：签名并附加参数#

示例代码#

请求规范

步骤一：构造请求头

步骤二：构造待签名字符串

步骤三：签名并附加参数

示例代码