hmac-auth插件需要和 Consumer 一起使用，API 的使用者必须将密匙添加到请求头中以验证其请求，下面介绍它的主要用法

参数

  • algorithm 算法 默认hmac-sha256 ["hmac-sha1", "hmac-sha256", "hmac-sha512"]，客户端请求头X-HMAC-ALGORITHM=hmac-sha256
  • clock_skew 签名允许的时间偏移（以秒为单位）
  • access_key Consumer 的 access_key 必须是唯一的，客户端请求时在请求头添加X-HMAC-ACCESS-KEY=access_key值
  • signed_headers 要在加密计算中使用的 headers 列表，客户端请求头X-HMAC-SIGNED-HEADERS
  • X-HMAC-SIGNATURE 客户端请求头中的签名

消费者配置

  • 添加hmac-auth插件，配置access_key，类似于app_id
  • 这个消费者有两个能力，除了hmac-auth以外，还有key-auth的能力，即简单的认证方式

签名生成的过程

接下来，我们将以下述请求为例，为你介绍签名生成公式的具体计算过程：

curl -i http://127.0.0.1:9080/index.html?name=james&age=36 \

-H "X-HMAC-SIGNED-HEADERS: User-Agent;x-custom-a" \

-H "x-custom-a: test" \

-H "User-Agent: curl/7.29.0"
  1. 上文请求默认的 HTTP Method 是 GET，得到 signing_string 为：
"GET"
  1. 请求的 URI 是 /index.html，根据 HTTP Method + \n + HTTP URI 得到 signing_string 为：
"GET

/index.html"
  1. URL 中的 query 项是 name=james&age=36，假设 encode_uri_params 为 false，根据 canonical_query_string 的算法，重点是对 key 进行字典排序，得到 age=36&name=james；根据 HTTP Method + \n + HTTP URI + \n + canonical_query_string 得到 signing_string 为：
"GET

/index.html

age=36&name=james"
  1. access_key 是 user-key，根据 HTTP Method + \n + HTTP URI + \n + canonical_query_string + \n + access_key 得到 signing_string 为：
"GET

/index.html

age=36&name=james

user-key"
  1. Date 是指 GMT 格式的日期，不能缺少，形如 Tue, 19 Jan 2021 11:33:20 GMT, 根据 HTTP Method + \n + HTTP URI + \n + canonical_query_string + \n + access_key + \n + Date 得到 signing_string 为：
"GET

/index.html

age=36&name=james

user-key

Tue, 19 Jan 2021 11:33:20 GMT"

因为人家apisix服务端lua插件源码，使用的是这种GMT格式，所以咱们使用者也需要跟人家保持一致，事实上，我更倾向于使用时间戳，没有日期格式和时区的问题

  1. signed_headers_string 用来制定参与到签名的 headers，在上面示例中包括 User-Agent: curl/7.29.0 和 x-custom-a: test。

根据 HTTP Method + \n + HTTP URI + \n + canonical_query_string + \n + access_key + \n + Date + \n + signed_headers_string + \n，得到完整的 signing_string 为：

"GET

/index.html

age=36&name=james

user-key

Tue, 19 Jan 2021 11:33:20 GMT

User-Agent:curl/7.29.0

x-custom-a:test

"

Body请求体校验

当 validate_request_body 设置为 true 时，插件将计算请求 body 的 hmac-sha 值，并与请求 headers 中的 X-HMAC-DIGEST 的值进行校验。

X-HMAC-DIGEST: base64(hmac-sha())

X-HMAC-DIGEST: base64(hmac-sha(<body>))

如果没有请求 body，你可以将 X-HMAC-DIGEST 的值设置为空字符串的 HMAC-SHA。

注意:

当开启 body 校验时，为了计算请求 body 的 hmac-sha 值，该插件会把 body 加载到内存中，在请求 body 较大的情况下，可能会造成较高的内存消耗。

为了避免这种情况，你可以通过设置 max_req_body（默认值是 512KB）配置项来配置最大允许的 body 大小，body 超过此大小的请求会被拒绝。

测试插件

假设当前请求为：

curl -i http://127.0.0.1:9080/index.html?name=james&age=36 \

-H "X-HMAC-SIGNED-HEADERS: User-Agent;x-custom-a" \

-H "x-custom-a: test" \

-H "User-Agent: curl/7.29.0"

通过以下 Python 代码为上述请求生成签名 SIGNATURE：

import base64

import hashlib

import hmac

secret = bytes('my-secret-key', 'utf-8')

message = bytes("""GET

/index.html

age=36&name=james

user-key

Tue, 19 Jan 2021 11:33:20 GMT

User-Agent:curl/7.29.0

x-custom-a:test

""", 'utf-8')

hash = hmac.new(secret, message, hashlib.sha256)

# to lowercase base64

print(base64.b64encode(hash.digest()))
Type Hash
SIGNATURE 8XV1GB7Tq23OJcoz6wjqTs4ZLxr9DiLoY4PxzScWGYg=

你也可以参考 Generating HMAC signatures 了解如何使用不同的编程语言生成签名。

签名生成后，你可以通过以下示例使用生成的签名发起请求：

curl -i "http://127.0.0.1:9080/index.html?name=james&age=36" \

-H "X-HMAC-SIGNATURE: 8XV1GB7Tq23OJcoz6wjqTs4ZLxr9DiLoY4PxzScWGYg=" \

-H "X-HMAC-ALGORITHM: hmac-sha256" \

-H "X-HMAC-ACCESS-KEY: user-key" \

-H "Date: Tue, 19 Jan 2021 11:33:20 GMT" \

-H "X-HMAC-SIGNED-HEADERS: User-Agent;x-custom-a" \

-H "x-custom-a: test" \

-H "User-Agent: curl/7.29.0"

HTTP/1.1 200 OK

Content-Type: text/html; charset=utf-8

Transfer-Encoding: chunked

Connection: keep-alive

Date: Tue, 19 Jan 2021 11:33:20 GMT

Server: APISIX/2.2

......

你也可以将签名放到请求头 Authorization 字段中：

curl http://127.0.0.1:9080/index.html \

-H 'Authorization: hmac-auth-v1# + ACCESS_KEY + # + base64_encode(SIGNATURE) + # + ALGORITHM + # + DATE + # + SIGNED_HEADERS' -i

postman测试结果

apisix~hmac-auth插件的使用的更多相关文章

  1. apisix docker镜像构建及插件化开发

    高能劝退:lua开发,适合小白看!!! 前段时间有个项目,用的java程序做网关,压测tps只有1k多点,惨不忍睹. 后来公司有个大佬改用apisix做网关,tps飙升到1w多. 于是对神奇的apis ...

  2. 详解 APISIX Lua 动态调试插件 inspect

    作者罗锦华,API7.ai 技术专家/技术工程师,开源项目 pgcat,lua-resty-ffi,lua-resty-inspect 的作者. 原文链接 为什么需要 Lua 动态调试插件? Apac ...

  3. WebAssembly 助力云原生：APISIX 如何借助 Wasm 插件实现扩展功能？

    本文将介绍 Wasm,以及 Apache APISIX 如何实现 Wasm 功能. 作者朱欣欣,API7.ai 技术工程师 原文链接 什么是 Wasm Wasm 是 WebAssembly 的缩写.W ...

  4. 云原生API网关全生命周期管理Apache APISIX探究实操

    @ 目录 概述 定义 NGINX 与 Kong 的痛点 APISIX 的技术优势 特性 架构 应用场景 主要概念 部署 快速入门 quickstart安装 Admin API创建路由 RPM安装 安装 ...

  5. 为什么 APISIX Ingress 是比 Emissary-ingress 更好的选择？

    本文从可扩展性和服务发现集成等多个维度对比了 APISIX Ingress 与 Emissary-ingress 的性能. 作者:容鑫,API7.ai 云原生技术工程师,Apache APISIX C ...

  6. OpenResty 社区王院生：APISIX 的高性能实践

    2019 年 7 月 6 日,OpenResty 社区联合又拍云,举办 OpenResty × Open Talk 全国巡回沙龙·上海站,OpenResty 软件基金会联合创始人王院生在活动上做了&l ...

  7. 当 Amazon Lambda 遇上 Apache APISIX 可以擦出什么火花？

    本文首先介绍了什么是 Serverless,以及为什么需要 Serverless:其次,讲述了一个好的网关在 Serverless 架构下的重要性,而 APISIX 就是这样的一个网关:最后,本文重点 ...

  8. Nginx、OpenResty和Kong的基本概念与使用方法

    Nginx.OpenResty和Kong的基本概念与使用方法 2018年10月10日 22:46:08 李佶澳 阅读数 322更多 分类专栏: kubernetes   版权声明:本文为博主原创文章, ...

  9. 论 Erda 的安全之道

    作者|陈建锋 来源|尔达 Erda 公众号 ​ 软件研发是一个复杂的工程,不仅需要进行软件的设计.开发.测试.运维,还涉及到大量的人力.物力管理.今天讨论的主角 - "安全",在软 ...

  10. API 管理在云原生场景下的机遇与挑战

    作者 | 张添翼 来源 | 尔达Erda公众号 ​ 云原生下的机遇和挑战 标准和生态的意义 自从 Kubernetes v1.0 于 2015 年 7 月 21 日发布,CNCF 组织随后建立以来,其 ...

随机推荐

  1. （八）.NET6.0添加通用的Redis功能

    1.添加包:StackExchange.Redis 2.在配置文件里面,新建Redis的有关配置信息 Name是别名,可以任意起.Ip是Redis的服务端地址,例如安装本地,就是127.0.0.1,端 ...

  2. 推荐4款基于.NET开源、功能强大的CMS建站系统

    前言 CMS系统作为一种强大的内容管理工具,在数字化时代发挥着越来越重要的作用.无论是个人博客还是大型企业官网,选择一个合适的CMS都能极大地提高效率和用户体验.今天大姚给大家推荐4款基于.NET开源 ...

  3. Windows 风格的个人网盘，支持OnlyOffice、支持音视频聊天、支持自动更新

    一年前,我开源了这个网盘,详见Windows风格的个人网盘,支持文档在线编辑,这一年期间,这个网盘进行了大量的更新,具体如下: 新增支持的功能如下: 支持 OnlyOffice (Word.Excel ...

  4. WPF 取消在触屏上点击按下不松开会出现矩形背景的效果

    加个属性:  btn.SetValue(Stylus.IsPressAndHoldEnabledProperty,false); 或者在样式里设置: <Style x:Key="MyB ...

  5. SpringBoot 集成腾讯云（对象存储、短信）

    https://developer.aliyun.com/article/831473 https://blog.csdn.net/weixin_45626288/article/details/11 ...

  6. 第六章 dubbo源码解析目录

    13.1 dubbo服务降级源码解析 从 9.1 客户端发起请求源码 的客户端请求总体流程图中,截取部分如下: //代理发出请求 proxy0.sayHello(String paramString) ...

  7. Kotlin：【set集合】集合创建、可变集合mutableSetOf、集合转换（List转换成Set，去掉重复元素）、distinct快捷去重函数、数组

  8. 《SpringBoot》史上最全SpringBoot相关注解介绍

    @SpringBootApplication @SpringBootApplication看作是 @Configuration.@EnableAutoConfiguration.@ComponentS ...

  9. ELB UDP健康检查常见故障分析

    本文分享自天翼云开发者社区<ELB UDP健康检查常见故障分析>,作者:王****宁 什么是UDP健康检查 UDP是面向非连接的一种协议,在发送数据前不会通过进行三次握手建立连接,UDP健 ...

  10. Kafka常用命令总结

    1.清空某个topic数据 需要在service设置delete.topic.enable=true ./bin/kafka-topics.sh --zookeeper 172.23.75.105:2 ...