pythonhmacsha1

1. 關於七牛雲存儲自定義URL的問題

近段時間將使用七牛雲存儲來存放用戶上傳的數據，客戶端通過七牛的js-sdk與七牛交互，服務端C#實現了七牛相關的介面。在這過程中多多少少遇到點問題，在這里總結一下。原文： 使用七牛雲存儲的一些經驗總結
599錯誤處理
如果在與七牛的交互中出現http狀態碼為599的錯誤，一句話，不要猶豫，直接聯系七牛技術支持 。七牛的文檔也在很多地方提到這個錯誤，都是指導大家去聯系技術支持的。筆者是在分塊上傳後的 mkfile 調用時出現的，聯系技術支持後，說是調整了一下，讓我重試。後來就好了...
分塊上傳無法從回調中獲得文件的原始名
簡單上傳採用的是multipart/form-data方式上傳，七牛服務端能夠從請求中獲得文件的原始名，並支持使用魔法變數 $(fname) 回調業務伺服器。不過當使用分片上傳的時候情況有所不同。分片上傳需要在最後調用 mkfile ，來將分片拼接起來。但是， mkfile 介面支持普通的請求，並沒有附帶文件名，所以七牛也就無法獲得文件名，此時從 $(fname) 中是取不到文件名的。這個問題我也向七牛技術支持提交了問題，得到的結果是使用自定義變數 mkfile 支持將自定義變數放在url中，回調的時候自定義變數可以傳遞給業務伺服器。
慎用圖片預處理
七牛雲支持很多對文件的預處理，其中最常用的應該就是圖片預處理了，可以對圖片的大小做變換等。七牛推薦使用GET的方式直接指定圖片處理結果的url，像這樣：
http://qiniuphotos.qiniudn.com/gogopher.jpg?imageView2/1/w/200/h/200

處理後的圖片會自動緩存，用戶不用關心，只要每次訪問都用這個url就行了。然而，筆者在開始的時候，為了保持與其他文件形式統一的處理方法，對圖片使用了預處理（因為視頻什麼的只能預處理），即在token中指定了預處理。此時問題出現了，從後台的日誌看到，圖片的預處理通知回調竟然比正常的上傳成功回調還要快！這就導致預處理結果到來之前，我的業務伺服器的資料庫中還沒有這個圖片，無法保存預處理結果了。所以 推薦還是使用url直接處理，對圖片要慎用預處理
視頻文件無法快進播放
通常用戶在觀看視頻的時候都會根據自己的喜好，快速將視頻定位到指定的時間播放。實現這個功能，需要視頻本身有關鍵幀信息、服務端需要支持關鍵幀播放請求，在 這篇文章 中有詳細討論。
但是筆者發現，在使用七牛雲轉化後的視頻，這樣做是無效的。於是咨詢技術支持，得到的答案是：轉化的文件是具有關鍵幀的，但七牛使用CDN加速，所以關鍵幀請求需要CDN的支持，如果想要用這個功能的話，需要單獨聯系銷售或技術支持在CDN上配置，而且時間比較長。筆者聯系了銷售和技術支持，說是幫我配置，但到現在還沒有搞定，因為最近這個也不是特別重要，所以也沒有跟下去。
Callback校驗
這是可選的一個步驟。由於七牛雲會在上傳完成之後回調業務伺服器，所以理論上說業務伺服器需要校驗這個回調的合理性。原理在七牛的 文檔 中有，需要用到 HMAC-SHA1 簽名函數。但是七牛的sdk中沒有提供直接的方式來做校驗，在研讀文檔、多次失敗和查看sdk源碼後，筆者終於校驗成功了。關鍵的分歧在於，文檔中的這句話：

獲取明文：data = Request.URL.Path +」\n」 +Request.Body

這里的 Request.URL.Path 是否包含Querystring?答案是包含的!下面是筆者C#服務端的校驗代碼，使用的是ASP.NET Web Api：
```C#
byte[] key = System.Text.Encoding.UTF8.GetBytes(Qiniu.Conf.Config.SECRET_KEY);
using (HMACSHA1 hmac = new HMACSHA1(key))
{
var t = filterContext.Request.Content.ReadAsStringAsync();
t.Wait();
string rawbody = t.Result;
log.DebugFormat("request's rawbody : {0}", rawbody);
string text = filterContext.Request.RequestUri.PathAndQuery + "\n" + rawbody;
log.DebugFormat("PathAndQuery + \n + rawbody : {0}", text);
byte[] digest = hmac.ComputeHash(System.Text.Encoding.UTF8.GetBytes(text));
string computed = Qiniu.Util.Base64URLSafe.Encode(digest);
log.DebugFormat("Computed hash after base64 : {0}", computed);
IEnumerable<string> auths;
if (filterContext.Request.Headers.TryGetValues("Authorization", out auths) && auths.Count() == 1)
{
string auth = auths.First();
log.DebugFormat("Authorization in header : {0}", auth);
if (auth.StartsWith("QBox "))
{
var arr = auth.Substring(5).Split(':');
if (arr.Length == 2)
{
if (arr[1] != computed)
{
log.ErrorFormat("Authorization failed. Since auth from header {0} not equals computed {1}", arr[1], computed);
}
else
{
log.Debug("Authorization success.");
//only pass can be return
return;
}
}
else
{
log.Error("Callback Authorization's format is invalid, can not find two part after split by ':'.");
}
}
else
{
log.Error("Callback Authorization's format is invalid, missing leading 'QBox '.");
}
}
else
{
log.Error("The request from qiniu callback is missing 'Authorization'");
}

filterContext.Response = filterContext.Request.CreateResponse(System.Net.HttpStatusCode.Forbidden);

}

如下幾個注意點：

- 明文應當是請求的path+querystring部分和rawbody
- 對於.NET而言，明文和key都需要用UTF-8編碼變換成位元組才能進行簽名。而php中的hash_hmac函數完全不用這么復雜...
- 簽名的結果再用base64的url安全的方式編碼，再與請求的http頭部的Authorization比較

建議官方在文檔中加入一些相對底層一些的編程語言的實現，php太高端了...

## js-sdk實現略顯粗糙 ##

在使用過程中，我發現[官方的js-sdk](https://github.com/qiniupd/qiniu-js-sdk/)有幾個我覺得不好的地方：

**不能為每個文件獲取UpToken**

試想，在文件上傳過程中有獲取UpToken是必須的，而且UpToken又需要包含預處理指令，不同的文件顯然需要不同的UpToken，而在js-sdk的實現中，只在初始化這個上傳組件對象的時候請求一次上傳憑證，後面所有的上傳都需要使用這個預先得到的UpToken：

```javascript
uploader.bind('Init', function(up, params) {
getUpToken();
});

於是我修改了這部分，在 BeforeUpload 事件中請求UpToken。建議官方考慮更改這個地方
只能實現分片上傳，無法斷點續傳
js-sdk的實現在分片上傳的實現上，是很簡單的，不僅沒有使用分片，而是分塊（一塊4m，調用mkblk），而且沒有實現持久化ctx，或者類似的回調或介面。4m分塊這個問題還可以不追究，沒有實現持久化ctx就說不過去了，不持久化怎麼實現斷點續傳撒?!就算不實現，也應該給出回調的入口，讓調用者來實現持久化，而我實在無法找到這個'空子'可鑽，只能直接在源碼上改動了。
沒有復用流行類庫的東西
這個其實算不上問題，因為作為一個不依賴jquery的sdk，當然不能使用jquery現成的東西，比如ajax。不依賴jquery就算了，依賴plupload是幾個意思嘛，還依賴全局對象...於是最後，我乾脆自己將sdk改成了Backbone的類，將不要的東西統統去掉，使用jquery和underscore簡化代碼了...

2. 如何生成HMAC在Java中相當於一個python的例子嗎

1. HMACSHA1似乎是你所需要的演算法：SecretKeySpec keySpec = new SecretKeySpec(
"".getBytes(),
"HmacSHA1");
Mac mac = Mac.getInstance("HmacSHA1");
mac.init(keySpec);
byte[] result = mac.doFinal("foo".getBytes());
BASE64Encoder encoder = new BASE64Encoder();
System.out.println(encoder.encode(result));

生產：+3h2gpjf4xcynjCGU5lbdMBwGOc=

請注意，我sun.misc.BASE64Encoder為迅速在這里，但你應該不依賴於太陽的JRE。以base64編碼器在下議院編解碼器將是一個更好的選擇，例如。
2. A小調的事情，但如果你正在尋找一個相當於HMAC（那麼默認的Python庫的MD5演算法，所以你需要的HMACMD5演算法在Java中。 這個我有這個確切的問題，並認為此答案這是有幫助的 CodeGo.net，但我錯過了一個地方傳遞到HMAC（）的一部分，並就下一個兔子洞。希望這個答案可以防止其他人做的未來。 例如在Python REPL>>> import hmac
>>> hmac.new("keyValueGoesHere", "secretMessageToHash").hexdigest()
''

這等效於import org.apache.commons.codec.binary.Hex;
import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
public class HashingUtility {
public static String HMAC_MD5_encode(String key, String message) throws Exception {
SecretKeySpec keySpec = new SecretKeySpec(
key.getBytes(),
"HmacMD5");
Mac mac = Mac.getInstance("HmacMD5");
mac.init(keySpec);
byte[] rawHmac = mac.doFinal(message.getBytes());
return Hex.encodeHexString(rawHmac);
}
}

請注意，在我的例子我在干什麼。hexdigest相當於（）

3. 函數HMAC-SHA1

HMAC
根據RFC 2316(Report of the IAB，April 1998)，HMAC(散列消息身份驗證碼: Hashed Message Authentication Code)以及IPSec被認為是Interact安全的關鍵性核心協議。它不是散列函數，而是採用了將MD5或SHA1散列函數與共享機密密鑰(與公鑰／私鑰對不同)一起使用的消息身份驗證機制。基本來說，消息與密鑰組合並運行散列函數。然後運行結果與密鑰組合並再次運行散列函數。這個128位的結果被截斷成96位，成為MAC.
hmac主要應用在身份驗證中，它的使用方法是這樣的：
1. 客戶端發出登錄請求（假設是瀏覽器的GET請求）
2. 伺服器返回一個隨機值，並在會話中記錄這個隨機值
3. 客戶端將該隨機值作為密鑰，用戶密碼進行hmac運算，然後提交給伺服器
4. 伺服器讀取用戶資料庫中的用戶密碼和步驟2中發送的隨機值做與客戶端一樣的hmac運算，然後與用戶發送的結果比較，如果結果一致則驗證用戶合法
在這個過程中，可能遭到安全攻擊的是伺服器發送的隨機值和用戶發送的hmac結果，而對於截獲了這兩個值的黑客而言這兩個值是沒有意義的，絕無獲取用戶密碼的可能性，隨機值的引入使hmac只在當前會話中有效，大大增強了安全性和實用性。大多數的語言都實現了hmac演算法，比如php的mhash、python的hmac.py、java的MessageDigest類，在web驗證中使用hmac也是可行的，用js進行md5運算的速度也是比較快的。
SHA
安全散列演算法SHA(Secure Hash Algorithm)是美國國家標准和技術局發布的國家標准FIPS PUB 180-1，一般稱為SHA-1。其對長度不超過264二進制位的消息產生160位的消息摘要輸出，按512比特塊處理其輸入。
SHA是一種數據加密演算法，該演算法經過加密專家多年來的發展和改進已日益完善，現在已成為公認的最安全的散列演算法之一，並被廣泛使用。該演算法的思想是接收一段明文，然後以一種不可逆的方式將它轉換成一段（通常更小）密文，也可以簡單的理解為取一串輸入碼（稱為預映射或信息），並把它們轉化為長度較短、位數固定的輸出序列即散列值（也稱為信息摘要或信息認證代碼）的過程。散列函數值可以說時對明文的一種「指紋」或是「摘要」所以對散列值的數字簽名就可以視為對此明文的數字簽名。
HMAC_SHA1
HMAC_SHA1(Hashed Message Authentication Code, Secure Hash Algorithm)是一種安全的基於加密hash函數和共享密鑰的消息認證協議。它可以有效地防止數據在傳輸過程中被截獲和篡改，維護了數據的完整性、可靠性和安全性。HMAC_SHA1消息認證機制的成功在於一個加密的hash函數、一個加密的隨機密鑰和一個安全的密鑰交換機制。
HMAC_SHA1 其實還是一種散列演算法,只不過是用密鑰來求取摘要值的散列演算法。
HMAC_SHA1演算法在身份驗證和數據完整性方面可以得到很好的應用，在目前網路安全也得到較好的實現。

4. python能看微信記錄嗎

python是一種編程語言，它看記錄怎麼看。應該是說能不能用它寫個程序，用來看記錄。這個在理論上是可以的！

5. 哪位能講講四叉樹演算法以及其實現原理

1、HMACSHA1的概念
HMACSHA1 是
從 SHA1 哈希函數構造的一種鍵控哈希演算法，被用作 HMAC（基於哈希的消息驗證代碼）。此 HMAC
進程將密鑰與消息數據混合，使用哈希函數對混合結果進行哈希計算，將所得哈希值與該密鑰混合，然後再次應用哈希函數。輸出的哈希值長度為 160
位，可以轉換為指定位數。
上面是微軟的標準定義，我看了也沒太明白，他的作用一句話來理解：就是確認請求的URL或者參數是否存在被篡改，以
簽名為例：發送方（自己）將參數等進行HMAC演算法計算，將得到的哈希值（即簽名值）與請求的參數一同提交至接收方（端），然後接收方再次將參數等值
進行HMAC演算法計算，將得到的哈希值與你傳遞過來的哈希值進行核對驗證，若一樣，說明請求正確、驗證通過，進行一下步工作，若不一樣，將返回錯誤。
（下面說的夠詳細了吧，還不理解，留言給我）

2、 OAuth 1.0中用到的哈希演算法

/// <summary>

/// HMACSHA1演算法加密並返回ToBase64String

/// </summary>

/// <param name="strText">簽名參數字元串</param>

/// <param name="strKey">密鑰參數</param>

/// <returns>返回一個簽名值(即哈希值)</returns>

public static string ToBase64hmac(string strText, string strKey)

{

HMACSHA1 myHMACSHA1 = new HMACSHA1(Encoding.UTF8.GetBytes(strKey));

byte[] byteText = myHMACSHA1.ComputeHash(Encoding.UTF8.GetBytes(strText));

return System.Convert.ToBase64String(byteText);

}
或者寫成，原理一樣：

public static string HMACSHA1Text(string EncryptText, string EncryptKey)
{
//HMACSHA1加密
string message;
string key;
message = EncryptText;
key = EncryptKey;

System.Text.ASCIIEncoding encoding = new System.Text.ASCIIEncoding();
byte[] keyByte = encoding.GetBytes(key);
HMACSHA1 hmacsha1 = new HMACSHA1(keyByte);
byte[] messageBytes = encoding.GetBytes(message);
byte[] hashmessage = hmacsha1.ComputeHash(messageBytes);

return ByteToString(hashmessage);
}

前面都注釋了參數含義，就不再說明了。COPY就可使用

註明：頁面請引用
using System.Security.Cryptography;

3、介紹另外一種HMACSHA1演算法的寫法

public static string HMACSHA1Text(string EncryptText, string EncryptKey)

{
//HMACSHA1加密
HMACSHA1 hmacsha1 = new HMACSHA1();
hmacsha1.Key = System.Text.Encoding.UTF8.GetBytes(EncryptKey);

byte[] dataBuffer = System.Text.Encoding.UTF8.GetBytes(EncryptText);
byte[] hashBytes = hmacsha1.ComputeHash(dataBuffer);
return Convert.ToBase64String(hashBytes);
}

6. pythonCryptoJS.enc.Hex.stringify(CryptoJS.HmacSHA256時簽名錯誤，python簽名如何與postman保持一致

• =CryptoJS.HmacSHA256(stringSign, key); 4.加密 //我這里是使用16進制的方法 具體API 可以列印CryptoJS.enc let hashInHex= CryptoJS.enc.Hex.stringify(hash);