Object Storage Service:Callback

URLにパラメーターを追加する

URLにパラメーターを追加する場合、callbackパラメーターは必須で、callback-varパラメーターはオプションです。 リクエストにcallbackまたはcallback-varパラメーターが含まれている場合、署名を計算するときにCanonicalizedResourceのサブリソースとしてcallbackまたはcallback-varパラメーターを使用する必要があります。 詳細については、「CanonicalizedResourceの作成」をご参照ください。

PUT /your_object?OSSAccessKeyId=LTAI5t7h6SgiLSga****&Signature=vjbyPxybdZaNmGa%2ByT272YEAiv****&Expires=1682484377&callback-var=eyJ4Om15X3ZhciI6ICJ2YX****==&callback=bGxiYWNrVXJsIjogImh0dHA6Ly94eHgueHh4LjIyLjE0My90ZXN0IiwKICAgICJjYWxsYmFja0hvc3QiOiAieW91ci5jYWxsYmFjay5jb20iLAogICAgImNhbGxiYWNrQm9keSI6ICJidWNrZXQ9JHtidWNrZXR9Jm9iamVjdD0ke29iamVjdH0mbXlfdmFyPSR7eDpteV92YXJ9IiwKICAgICJjYWxsYmFja0JvZHlUeXBlIjogImFwcGxpY2F0aW9uL3gtd3d3LWZvcm0tdXJsZW5jb2RlZCIsCiAgICAiY2FsbGJhY2tTTkkiOiBmYWxzZQp9 HTTP/1.1
Host: callback-test.oss-cn-hangzhou.aliyuncs.com
Date: Wed, 26 Apr 2023 03:46:17 GMT
Content-Length: 5
Content-Type: text/plain

パラメーターをヘッダーとしてリクエストに追加します。

x-oss-callbackまたはx-oss-callback-varヘッダーをリクエストに追加します。 署名を計算するために、x-oss-callback-varおよびx-oss-callbackヘッダーがCanonicalizedOSSHeadersに含まれています。

例：

PUT /your_object HTTP/1.1
Host: callback-test.oss-test.aliyun-inc.com
Accept-Encoding: identity
Content-Length: 5
x-oss-callback-var: eyJ4Om15X3ZhciI6ICJ2YX****==
User-Agent: aliyun-sdk-python/0.4.0 (Linux/2.6.32-220.23.2.ali1089.el5.x86_64/x86_64;2.5.4)
x-oss-callback: ewogICAg****bGxiYWNrVXJsIjogImh0dHA6Ly94eHgueHh4LjIyLjE0My90ZXN0IiwKICAgICJjYWxsYmFja0hvc3QiOiAieW91ci5jYWxsYmFjay5jb20iLAogICAgImNhbGxiYWNrQm9keSI6ICJidWNrZXQ9JHtidWNrZXR9Jm9iamVjdD0ke29iamVjdH0mbXlfdmFyPSR7eDpteV92YXJ9IiwKICAgICJjYWxsYmFja0JvZHlUeXBlIjogImFwcGxpY2F0aW9uL3gtd3d3LWZvcm0tdXJsZW5jb2RlZCIsCiAgICAiY2FsbGJhY2tTTkkiOiBmYWxzZQp9
Host: callback-test.oss-test.aliyun-inc.com
Expect: 100-Continue
Date: Wed, 26 Apr 2023 03:46:17 GMT
Content-Type: text/plain
Authorization: OSS qn6q**************:77Dv****************
Test

POSTリクエストの本文のフォームフィールドにパラメーターを追加します。

PostObject操作を呼び出してオブジェクトをアップロードするときに、このメソッドのみを使用してコールバックパラメーターを設定できます。

• POSTメソッドを使用してオブジェクトをアップロードするときにコールバックパラメーターを追加する場合は、別のフォームフィールドを使用してコールバックパラメーターを追加します。 例：

  --9431149156168
  Content-Disposition: form-data; name="callback"
  eyJjYWxsYmFja1VybCI6IjEwLj****4xN

• callback-varパラメーターをPOSTリクエストに追加する場合、パラメーター全体を直接追加することはできません。 代わりに、個別のフォームフィールドを使用して各カスタムパラメータを追加する必要があります。 例：

  {
  "x:var1":"value1",
  "x:var2":"value2"
  }

  次のコンテンツは、前述のカスタムパラメーターを追加する方法の例を示しています。

  --9431149156168
  Content-Disposition: form-data; name="callback"
  eyJjYWxsYmFja1VybCI6IjEwLj****4xN
  --9431149156168
  Content-Disposition: form-data; name="x:var1"
  value1
  --9431149156168
  Content-Disposition: form-data; name="x:var2"
  value2

  ポリシーにコールバック条件を追加できます。 ポリシーにコールバック条件を追加しない場合、アップロードのコールバックパラメーターは検証されません。 例：

  { "expiration": "2021-12-01T12:00:00.000Z",
    "conditions": [
      {"bucket": "johnsmith" },
      {"callback": "eyJjYWxsYmFja1V****4My"},
      ["starts-with", "$key", "user/eric/"],
    ]
  }

ステップ1: 署名を生成する

• 署名生成アルゴリズム

  OSSはRSA暗号化アルゴリズムを使用して署名を計算します。

  authorization = base64_encode(rsa_sign(private_key, url_decode(path) + query_string + '\n' + body, md5))

  説明

  上記のコードでは、private_keyは秘密鍵、pathはコールバック要求に含まれるリソースパス、query_stringはクエリ文字列、bodyはコールバック要求のメッセージ本文を指定します。

• 署名の生成方法

  1. 署名する文字列を作成します。 文字列は、URL、元のクエリ文字列、キャリッジリターン、およびコールバックメッセージ本文をデコードして取得したリソースパスで構成されます。

  2. RSA暗号化アルゴリズムと秘密鍵を使用して、作成した文字列に署名します。 署名を計算するために使用されるハッシュ関数はMD5である。

  3. Base64を使用して署名された結果をエンコードし、最終署名を取得します。 次に、コールバック要求のAuthorizationヘッダーに署名を追加します。

• 例：

  POST /index.php?id=1&index=2 HTTP/1.0
  Host: 172.16.XX.XX
  Connection: close
  Content-Length: 18
  authorization: kKQeGTRccDKyHB3H9vF+xYMSrmhMZj****/kdD1ktNVgbWEfYTQG0G2SU/RaHBovRCE8OkQDjC3uG33esH2t****
  Content-Type: application/x-www-form-urlencoded
  User-Agent: http-client/0.0.1
  x-oss-pub-key-url: aHR0cDovL2dvc3NwdWJsaWMuYWxpY2RuLmNvbS9jYWxsYmFja19wdWJfa2V5X3YxLnsr****
  bucket=examplebucket

  上記のコードでは、最終的な署名はkKQeGTRccDKyHB3H9vF + xYMSrmhMZjzzl2/kdD1ktNVgbWEfYTQG0G2SU/RaHBovRCE8OkQDjC3uG33esH2t **** です。 署名はから生成されます。/index.phpパス、? id=1&index=2クエリ文字列、およびbucket=examplebucketボディ。

ステップ2: 署名を確認する

• 署名検証方法

  次のサンプルコードは、アプリケーションサーバーを使用して署名を検証する方法の例を示しています。

  Result = rsa_verify(public_key, md5(url_decode(path) + query_string + '\n' + body), base64_decode(authorization))

  public_keyは公開キーを指定し、承認はコールバック要求ヘッダーに含める署名を指定します。

• 署名検証プロセス

  1. コールバック要求のx-oss-pub-key-urlヘッダーには、公開鍵のBase64-encoded URLが格納されます。 公開鍵を取得するには、Base64-encoded URLをデコードする必要があります。

     public_key = urlopen(base64_decode(x-oss-pub-key-url header value))

     たとえば、Base64でaHR0cDovL2dvc3NwdWJsaWMuYWxpY2RuLmNvbS9jYWxsYmFja19wdWJfa2V5X3YxLnBlbQ== をデコードして公開鍵のURLを取得します。 デコードされた URL は http://gosspublic.alicdn.com/callback_pub_key_v1.pem です。

     説明

     ossが発行するpublic_keyフィールドのx-OSS-pub-key-urlヘッダーの値は、http://gosspublic.alicdn.com/ または https://gosspublic.alicdn.com/ で始まる必要があります。 公開鍵のアドレスは変更されないため、ネットワーク障害やサーバー関連のエラーによる例外を回避するため、OSS公開鍵のアドレスに基づいて公開鍵コンテンツをキャッシュすることを推奨します。

  2. 署名のBase64-decoded形式を取得します。

     signature = base64_decode(authorization header value)

  3. コールバック要求が署名された後に文字列を取得するのと同じ手順を実行して、署名する文字列を取得します。

     sign_str = url_decode(path) + query_string + '\n' + body

  4. 署名を検証します。

     result = rsa_verify(public_key, md5(sign_str), signature)

• 例：

  次のPythonコードは、アプリケーションサーバーが署名を検証する方法の例を示しています。 サンプルコードを実行するには、M2Cryptoライブラリが必要です。

  import httplib
  import base64
  import md5
  import urllib2
  from BaseHTTPServer import BaseHTTPRequestHandler, HTTPServer
  from M2Crypto import RSA
  from M2Crypto import BIO
  def get_local_ip():
      try:
          csock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
          csock.connect(('8.8.8.8', 80))
          (addr, port) = csock.getsockname()
          csock.close()
          return addr
      except socket.error:
          return ""
  class MyHTTPRequestHandler(BaseHTTPRequestHandler):
      '''
      def log_message(self, format, *args):
          return
      '''
      def do_POST(self):
          #get public key
          pub_key_url = ''
          try:
              pub_key_url_base64 = self.headers['x-oss-pub-key-url']
              pub_key_url = pub_key_url_base64.decode('base64')
              if not pub_key_url.startswith("http://gosspublic.alicdn.com/") and not pub_key_url.startswith("https://gosspublic.alicdn.com/"):
                  self.send_response(400)
                  self.end_headers()
                  return
              url_reader = urllib2.urlopen(pub_key_url)
              #you can cache it,recommend caching public key content based on the public key address
              pub_key = url_reader.read() 
          except:
              print 'pub_key_url : ' + pub_key_url
              print 'Get pub key failed!'
              self.send_response(400)
              self.end_headers()
              return
          #get authorization
          authorization_base64 = self.headers['authorization']
          authorization = authorization_base64.decode('base64')
          #get callback body
          content_length = self.headers['content-length']
          callback_body = self.rfile.read(int(content_length))
          #compose authorization string
          auth_str = ''
          pos = self.path.find('?')
          if -1 == pos:
              auth_str = urllib2.unquote(self.path) + '\n' + callback_body
          else:
              auth_str = urllib2.unquote(self.path[0:pos]) + self.path[pos:] + '\n' + callback_body
          print auth_str
          #verify authorization
          auth_md5 = md5.new(auth_str).digest()
          bio = BIO.MemoryBuffer(pub_key)
          rsa_pub = RSA.load_pub_key_bio(bio)
          try:
              result = rsa_pub.verify(auth_md5, authorization, 'md5')
          except:
              result = False
          if not result:
              print 'Authorization verify failed!'
              print 'Public key : %s' % (pub_key)
              print 'Auth string : %s' % (auth_str)
              self.send_response(400)
              self.end_headers()
              return
          #do something according to callback_body
          #response to OSS
          resp_body = '{"Status":"OK"}'
          self.send_response(200)
          self.send_header('Content-Type', 'application/json')
          self.send_header('Content-Length', str(len(resp_body)))
          self.end_headers()
          self.wfile.write(resp_body)
  class MyHTTPServer(HTTPServer):
      def __init__(self, host, port):
          HTTPServer.__init__(self, (host, port), MyHTTPRequestHandler)
  if '__main__' == __name__:
      server_ip = get_local_ip()
  server_port = 23451
  server = MyHTTPServer(server_ip, server_port)
  server.serve_forever()

  次の表に、他のプログラミング言語でサーバー上の署名を検証するために使用できるコードを示します。

  SDKプログラミング言語	説明
  Java	ダウンロードリンク: Javaコードサンプル 実行方法: パッケージを解凍し、java -jar oss-callback-server-demo.jar 9000を実行します。 ポート番号9000を別のポート番号に置き換えることができます。
  Python	ダウンロードリンク: Pythonコードサンプル 実行方法: パッケージを解凍し、python callback_app_server.pyを実行します。 コードサンプルを実行するには、RSA依存関係が必要です。
  Go	ダウンロードリンク: Go sample code sample 実行方法: パッケージを解凍し、README.mdの指示に従います。
  PHP	ダウンロードリンク: PHPコードサンプル 実行方法: コードをApache環境にデプロイして、コード内の特定のヘッダーが依存関係として環境を使用できるようにします。 環境に基づいてサンプルコードを変更できます。
  .NET	ダウンロードリンク:. NETコードのサンプル 実行方法: パッケージを解凍し、README.mdの指示に従います。
  Node.js	ダウンロードリンク: Node.jsコードサンプル 実行方法: パッケージを解凍し、node example.jsを実行します。
  Ruby	ダウンロードリンク: Ruby code sample 実行方法：ruby aliyun_oss_callback_server.rb を実行します。