在 Java 中生成 SAS 令牌以下载 Azure 数据存储容器中的文件

Question

尝试生成 SAS 令牌以访问存储帐户中的某些文件。我正在使用此处列出的方法：

https://docs.microsoft.com/en-us/rest/api/eventhub/generate-sas-token

现在，我遇到的问题是，我一辈子都无法让 sasToken 字符串工作。如果我通过门户（存储帐户中的共享访问签名）生成令牌，我可以使用提供的令牌通过 URL 访问这些文件。

但是，我还不能使用上面链接的方法通过 Java 以编程方式生成 SAS 令牌。我认为我的问题是正在加密的 StringToSign。在构造要加密的字符串时，我一直在关注这个例子：

https://docs.microsoft.com/en-us/rest/api/storageservices/constructing-an-account-sas

我所有的努力都导致了：

<AuthenticationErrorDetail>Signature fields not well formed.</AuthenticationErrorDetail>

或

<AuthenticationErrorDetail>Signature did not match. String to sign used was <insert string details here>

查看 Portal 生成的适合我的 sasToken：

?sv=2017-11-09&ss=f&srt=o&sp=r&se=2018-12-06T22:15:20Z&st=2018-12-06T14:15:20Z&spr=https&sig=%2Bi1TWv5D80U%2BoaIeoBh1wjaO1p4xVFYz%3nRZt%2Fzwi p>

看来我需要这样的字符串：

            String stringToSign = accountName + "\n" +
                "r\n" +
                "f\n" +
                "o\n" +
                URLEncoder.encode(start, "UTF-8") + "\n" +
                URLEncoder.encode(expiry, "UTF-8") + "\n" +
                "\n" +
                "https\n" +
                azureApiVersion;

其中 accountName 是 Azure 的存储帐户名称，start/expiry 是开始和到期字符串（即 2018-12-06T22:15:20Z），azureApiVersion 是“2017-11-09”。

然后我尝试在构造字符串后返回令牌，如下所示：

        String signature = getHMAC256(key, stringToSign);
        sasToken = "sv=" + azureApiVersion +
                "&ss=f" +
                "&srt=o" +
                "&sp=r" +
                "&se=" +URLEncoder.encode(expiry, "UTF-8") +
                "&st=" + URLEncoder.encode(start, "UTF-8") +
                "&spr=https" +
                "&sig=" + URLEncoder.encode(signature, "UTF-8");

我也尝试了 URL 编码，而不是 URL 编码开始/到期日期，以防万一搞砸了。我错过了什么？

Answer 1

三点修复

1. @Gaurav 提到的getHMAC256 方法问题

2. 不要在stringToSign 中编码expiry 和start，否则签名将不匹配。因为 url 中的编码部分会被 Azure Storage Service 解码，计算出预期的签名。

3. 在stringToSign 中，在azureApiVersion 之后错过一个\n。

这是完整的示例。

 public static void GetFileSAS(){

    String accountName = "accountName";
    String key = "accountKey";
    String resourceUrl = "https://"+accountName+".file.core.windows.net/fileShare/fileName";

    String start = "startTime";
    String expiry = "expiry";
    String azureApiVersion = "2017-11-09";

    String stringToSign = accountName + "\n" +
                "r\n" +
                "f\n" +
                "o\n" +
                start + "\n" +
                expiry + "\n" +
                "\n" +
                "https\n" +
                azureApiVersion+"\n";

    String signature = getHMAC256(key, stringToSign);

    try{

        String sasToken = "sv=" + azureApiVersion +
            "&ss=f" +
            "&srt=o" +
            "&sp=r" +
            "&se=" +URLEncoder.encode(expiry, "UTF-8") +
            "&st=" + URLEncoder.encode(start, "UTF-8") +
            "&spr=https" +
            "&sig=" + URLEncoder.encode(signature, "UTF-8");

    System.out.println(resourceUrl+"?"+sasToken);

    } catch (UnsupportedEncodingException e) {
        e.printStackTrace();
    }
}

private static String getHMAC256(String accountKey, String signStr) {
    String signature = null;
    try {
        SecretKeySpec secretKey = new SecretKeySpec(Base64.getDecoder().decode(accountKey), "HmacSHA256");
        Mac sha256HMAC = Mac.getInstance("HmacSHA256");
        sha256HMAC.init(secretKey);
        signature = Base64.getEncoder().encodeToString(sha256HMAC.doFinal(signStr.getBytes("UTF-8")));
    } catch (Exception e) {
        e.printStackTrace();
    }
    return signature;
}

Answer 2

我有一个更简单的方法

SharedAccessAccountPolicy sharedAccessAccountPolicy = new SharedAccessAccountPolicy();
sharedAccessAccountPolicy.setPermissionsFromString("racwdlup");
long date = new Date().getTime();
long expiryDate = new Date(date + 8640000).getTime();
sharedAccessAccountPolicy.setSharedAccessStartTime(new Date(date));
sharedAccessAccountPolicy.setSharedAccessExpiryTime(new Date(expiryDate));
sharedAccessAccountPolicy.setResourceTypeFromString("sco");
sharedAccessAccountPolicy.setServiceFromString("bfqt");
String sasToken = "?" + storageAccount.generateSharedAccessSignature(sharedAccessAccountPolicy);

您可以像这样获取存储帐户：

private String storageConnectionString = "DefaultEndpointsProtocol=https;AccountName=<storage name>;AccountKey=<your key>;EndpointSuffix=core.windows.net";
storageAccount = CloudStorageAccount.parse(storageConnectionString);