为什么AWS不信任由自己的SDK生成的预签名URL

Question

java.util.Date expiration = new java.util.Date();
long milliSeconds = expiration.getTime();
milliSeconds += 1000 * 60 * 60; // Add 1 hour.
expiration.setTime(milliSeconds);

GeneratePresignedUrlRequest generatePresignedUrlRequest = 
new GeneratePresignedUrlRequest(bucketName, objectKey);
generatePresignedUrlRequest.setMethod(HttpMethod.GET); 
generatePresignedUrlRequest.setExpiration(expiration);

URL url = s3client.generatePresignedUrl(generatePresignedUrlRequest); 

测试我用于连接到AWS S3的凭据；我能够使用相同的凭据和S3下载方法从AWS SDK下载S3对象。但我从AWS得到的对从上面生成的URL（例如，https://ozland.s3.amazonaws.com/1865b563cdc94fa28ef41ee0b9b0e608？AWSAccessKeyId=...AWSAccessKeyId...&EXPIRES=1471300223&Signature=PBGCRB0ZG%2B3IICDQQBVX%2FQDNAAC%3D)的响应是：

<?xml version="1.0" encoding="UTF-8"?>
<Error><Code>SignatureDoesNotMatch</Code><Message>The request signature we calculated does not match the signature you provided. Check your key and signing method.</Message
<AWSAccessKeyId>...AWSAccessKeyId...</AWSAccessKeyId>
<StringToSign>GET


1471300223
/ozland/1865b563cdc94fa28ef41ee0b9b0e608</StringToSign>
<SignatureProvided>pbgcRB0Zg+3iicDQQbVX/qdNAAc=</SignatureProvided>
<StringToSignBytes>47 45 54 0a 0a 0a 31 34 37 31 33 30 30 32 32 33 0a 2f 61 6c 61 62 61 6d 61 63 6f 75 6e 74 79 2f 31 38 36 35 62 35 36 33 63 64 65 39 34 66 61 32 38 65 66 34 31 65 65 30 63 39 62 30 65 36 30 38</StringToSignBytes>
<RequestId>...RequestId...</RequestId>
<HostId>...HostId...</HostId></Error>

问题是为什么Response.StringToSign从上面与AWS文档（AWS文档）描述它的方式不同。特别是，根据文档，我希望StringToSign类似于：

AWS4-HMAC-SHA256
20150830T123600Z
20150830/us-east-1/iam/aws4_request
f536975d06c0309214f805bb90ccff089219ecd68b2577efef23edd43b7e1a59

aws-tools在使用完全相同的S3 bucket和凭据生成预签名URL时非常适合我。但为什么我在这里得到的签名是不匹配的？

谢谢你！

Answer 1

不同的是，错误响应中的string-to sign是Signature Version 2格式的，而这又是因为您签名的URL是V2格式的。

在这两种格式之间的显著视觉差异中，V2具有signature=[base64]，而V4具有x-amz-signature=[hex]。

这解释了Strings to Sign的差异。