📚 课程目录第4章阿里云KMS SDK入门

4、阿里云KMS SDK入门：支持的编程语言、认证方式（AccessKey/STS）、快速Hello World

你可能已经听过 KMS 很多次了——密钥管理、加密解密、凭据托管……但真到了写代码调用的时候，很多人第一反应是：“SDK 怎么装？哪种语言支持？认证怎么搞？”
嗯，这一节我们就来解决这些最基础、也最实际的问题。我自己的习惯是，不管文档多厚，先跑通一个 Hello World 再说。
下面带你走一遍完整的入门流程：支持的编程语言、两种认证方式，最后用 Java 写一个加密/解密的示例。

💡 个人经验：先确认你的环境已经安装了对应语言的包管理工具（比如 Java 的 Maven/Gradle、Python 的 pip），否则后面会卡在依赖下载上。

4.1 支持的编程语言一览

阿里云 KMS SDK 覆盖了主流的开发语言。我列一个表格，方便你对照自己的技术栈。

编程语言	官方支持	备注
Java	✅ 完整支持	最成熟，文档最全，生产推荐
Python	✅ 完整支持	快速原型首选，社区活跃
Go	✅ 完整支持	云原生场景多，性能好
.NET	✅ 完整支持	企业级 .NET 项目可用
PHP	✅ 完整支持	老项目迁移常用
Node.js	✅ 完整支持	Serverless 和前端友好
C++	第三方维护	非官方，谨慎使用
Ruby	第三方维护	非官方，不推荐生产

说实话，我见过不少团队在选语言时踩坑——有人用第三方维护的 C++ SDK，结果密钥轮换接口不兼容，排查了两天。所以我的建议是：优先选官方全力支持的 Java、Python、Go 或 .NET，文档和 issue 响应速度完全不在一个量级。

4.2 认证方式：AccessKey vs STS

KMS SDK 的认证说白了就两种：AccessKey（长期凭证）和STS（临时凭证）。你想想看，很多新手一上来就把 AccessKey 写死在代码里，这是非常危险的。我曾经在客户的代码仓库里见过 AK 明文硬编码，吓得我当场让他们改掉。

下面这个表格帮你快速对比两者的差异：

对比维度	AccessKey	STS
有效时长	永久（除非主动禁用）	最短 15 分钟，最长 12 小时
权限范围	固定，与子账号绑定	可临时缩小，细粒度控制
泄露风险	高，泄露后永久可用	低，过期即作废
使用场景	本地开发调试、服务端长任务	生产环境、多租户、临时授权
获取方式	在 RAM 控制台创建	调用 STS 服务 AssumeRole

⚠️ 避坑指南：
我曾经帮一个客户排查生产事故，发现他们 KMS 调用频繁报 "AccessDenied"。最后定位到——他们把所有服务都用同一个主账号的 AccessKey，权限太大反而触发了风险控制。正确的做法是：生产环境必须用 STS 临时凭证，并且每个微服务使用独立的 RAM 角色。

我个人在写 Demo 或本地测试时，图省事会用 AccessKey 直接写在环境变量里。但一旦涉及多人协作或 CI/CD 流水线，我一定会换成 STS + OIDC 的方式。你想想看，临时凭证几分钟就过期，即使泄露了，攻击者也来不及搞破坏。

4.3 快速 Hello World（以 Java 为例）

好，理论说完了，直接上手写代码。这里我用 Java 举例，Python 和 Go 的写法大同小异，你在官网都能找到对应片段。

步骤一：引入依赖（Maven）

<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>aliyun-java-sdk-kms</artifactId>
    <version>2.16.6</version>
</dependency>

步骤二：初始化客户端（使用 AccessKey）

import com.aliyuncs.kms.model.v20160120.*;
import com.aliyuncs.*;

// 从环境变量读取 AK 和 SK，不要硬编码！
String accessKeyId = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID");
String accessKeySecret = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
String regionId = "cn-hangzhou";

DefaultProfile profile = DefaultProfile.getProfile(regionId, accessKeyId, accessKeySecret);
IAcsClient client = new DefaultAcsClient(profile);

步骤三：调用 KMS 加密

EncryptRequest request = new EncryptRequest();
request.setKeyId("your-key-id");      // 在 KMS 控制台创建或使用默认密钥
request.setPlaintext("Hello KMS!");   // 需要 Base64 编码

EncryptResponse response = client.getAcsResponse(request);
System.out.println("密文：" + response.getCiphertextBlob());

步骤四：调用 KMS 解密

DecryptRequest decryptRequest = new DecryptRequest();
decryptRequest.setCiphertextBlob(response.getCiphertextBlob());

DecryptResponse decryptResponse = client.getAcsResponse(decryptRequest);
System.out.println("明文：" + decryptResponse.getPlaintext());

💡 小提示：如果你用 STS 临时凭证，只需要把 DefaultProfile.getProfile 改为传入 StsToken 的方式，或者用 DefaultAcsClient 的带安全令牌的构造方法。代码改动量非常小，所以别偷懒，生产环境一定要用 STS。

4.4 本章知识结构总览

下面的 SVG 图帮你把本节的核心链路串起来——从选择编程语言，到决定认证方式，再到写出第一个 Hello World。你可以把它当作自己的“入门速查表”。

这张图就是你今天学到的全部内容：先选好语言，再确定用 AccessKey 还是 STS，最后跑通 Hello World。每一步都有对应的代码或配置。后面章节我们会深入到密钥的生命周期管理、凭据托管、加密上下文等高级话题，但只要你把这一节的基础打牢，后面的路会顺很多。