Go对象存储接口认证授权与权限测试 - 第3节

权限验证基础：认证与授权的区别

在对象存储接口权限验证中，认证（Authentication）与授权（Authorization）是两个极易混淆但本质不同的概念。认证解决“你是谁”的问题，授权解决“你能做什么”的问题。两者在权限验证流程中承担不同职责，缺一不可。

访问密钥（Access Key / Secret Key）

访问密钥是对象存储接口认证的核心凭证，由两部分组成：

• Access Key（AK）：身份标识，相当于用户名，通常以字符串形式明文传输。
• Secret Key（SK）：签名密钥，相当于密码，永远不能明文传输，仅用于本地签名计算。

密钥对的生命周期管理

签名机制原理

签名机制是对象存储接口权限验证的核心技术。客户端使用 Secret Key 对请求参数进行签名，服务端使用相同的算法和存储的 Secret Key 重新计算签名，比对一致则认证通过。

签名计算流程

1. 构造规范请求（Canonical Request）：将 HTTP 方法、URI、查询参数、请求头、请求体按固定格式拼接。
2. 生成待签字符串（StringToSign）：将规范请求的哈希值、时间戳、作用域等信息组合。
3. 计算签名（Signature）：使用 Secret Key 通过 HMAC-SHA256 算法对 StringToSign 加密。
4. 附加到请求：将签名结果放入 Authorization 请求头或查询参数中。

Go 语言签名实现示例

以下代码展示了使用 HMAC-SHA256 计算签名的核心逻辑：

package main

import (
    "crypto/hmac"
    "crypto/sha256"
    "encoding/hex"
    "fmt"
    "time"
)

// 签名参数结构
type SignParams struct {
    AccessKey string
    SecretKey string
    Method    string // HTTP 方法，如 GET、PUT
    Path      string // 请求路径，如 /bucket/object
    Timestamp string // ISO8601 格式时间戳
}

// 计算签名
func CalculateSignature(params SignParams) string {
    // 1. 构造待签字符串
    stringToSign := fmt.Sprintf("%s\n%s\n%s\n%s",
        params.Method,
        params.Path,
        params.Timestamp,
        params.AccessKey,
    )

    // 2. 使用 Secret Key 进行 HMAC-SHA256 签名
    h := hmac.New(sha256.New, []byte(params.SecretKey))
    h.Write([]byte(stringToSign))
    signature := hex.EncodeToString(h.Sum(nil))

    return signature
}

// 验证签名
func VerifySignature(params SignParams, receivedSignature string) bool {
    expectedSignature := CalculateSignature(params)
    return hmac.Equal(
        []byte(expectedSignature),
        []byte(receivedSignature),
    )
}

func main() {
    params := SignParams{
        AccessKey: "AKID1234567890",
        SecretKey: "sk-secret-key-not-hardcoded",
        Method:    "GET",
        Path:      "/my-bucket/photo.jpg",
        Timestamp: time.Now().UTC().Format(time.RFC3339),
    }

    signature := CalculateSignature(params)
    fmt.Printf("计算签名: %s\n", signature)

    // 模拟服务端验证
    isValid := VerifySignature(params, signature)
    fmt.Printf("签名验证: %v\n", isValid)
}

签名机制的安全特性