4.2.1. 服务鉴权

<div style="max-width: 100%; margin: 20px auto;">
    
    <div style="background-color: #ffffff; border-radius: 8px; box-shadow: 0 2px 8px rgba(0,0,0,0.1); overflow: hidden; font-family: 'Comic Sans MS', cursive, sans-serif;">
        
        
        <div style="background-color: #F4F8FA; padding: 1px 10px; border-bottom: 1px solid #dee2e6; display: flex; justify-content: space-between; align-items: center;">
            <div style="color: #0E42D2; font-weight: bold;font-size: 1.3rem;">服务鉴权概述</div>
            <div>
            </div>
        </div>
        
        <div style="padding: 25px; line-height: 29px; background-image: linear-gradient(transparent 26px, #dee2e6 27px, #dee2e6 27px, transparent 27px); background-size: 100% 28px; min-height: 100px; color: #333;">
            <div>服务鉴权文档详细介绍了平台接口的安全验证机制，包括鉴权流程和所需参数说明，确保接口访问的安全性与合法性。</div>
			<a href="#服务鉴权文档" style="color: #6f42c1; font-weight: 500;">
			<strong>- 1、服务鉴权文档>>>点击跳转&emsp;&emsp;&emsp;</strong></a>
			&emsp;&emsp;&emsp;<a href="#鉴权说明" style="color: #6f42c1; font-weight: 500;">
			<strong>- 2、鉴权说明>>>点击跳转&emsp;&emsp;&emsp;</strong></a>
			<br><a href="#鉴权参数" style="color: #6f42c1; font-weight: 500;">
			<strong>- 3、鉴权参数>>>点击跳转&emsp;&emsp;&emsp;</strong></a>
            <div></div>
        </div>
        
        </div>
    </div>
</div>

# 1. 服务鉴权文档

请求方对请求进行签名，服务端校验签名合法性。
- ws[s]：请求类型为GET请求
- http[s]：请求类型根据实际类型传值，常见有POST、DELETE等

# 2. 鉴权说明
鉴权方式：请求地址后面添加鉴权参数，例：

- ws请求：

```java
ws://aiui.xf-yun.com/v2/aiint/ws?authorization=YXBpX2tleT0iN2JlZjhiODc0MzJkZWRkNTkwNjliYmI2NjRiZDFiNmEiLCBhbGdvcml0aG09ImhtYWMtc2hhMjU2IiwgaGVhZGVycz0iaG9zdCBkYXRlIHJlcXVlc3QtbGluZSIsIHNpZ25hdHVyZT0iWTE2TWVyRXlPclQwOUFacVdQNlZ0UjZBRlhieUd1NlVjbk5SS0ZYVzZIdz0i&host=aiui.xf-yun.com&date=Thu%2C+29+Aug+2024+02%3A38%3A24+GMT

```

- http请求：

```java
http://aiui.xf-yun.com/v2/aiint/voice-clone/sgen/reg?authorization=YXBpX2tleT0iN2JlZjhiODc0MzJkZWRkNTkwNjliYmI2NjRiZDFiNmEiLCBhbGdvcml0aG09ImhtYWMtc2hhMjU2IiwgaGVhZGVycz0iaG9zdCBkYXRlIHJlcXVlc3QtbGluZSIsIHNpZ25hdHVyZT0ibHZBOHozelBCTlk3blpKY1hlOFozS3ZneS94cTB1YjQ1QTlTTjdLdWZibz0i&host=aiui.xf-yun.com&date=Thu%2C+29+Aug+2024+02%3A57%3A12+GMT

```

# 3. 鉴权参数

| 参数          | 类型   | 必须 | 说明   | 示例              |
| :------------ | :----- | :--- | :------------------------------------------------------ | :-------------------------------------- |
| host          | string | 是   | 请求地址的域名                                          | aiui.xf-yun.com                         |
| date          | string | 是   | 当前时间戳，RFC1123格式(Wed, 10 Jul 2019 07:35:43 GMT)  | Wed, 23 Aug 2023 06:45:26 GMT           |
| authorization | string | 是   | 使用base64编码的签名相关信息（签名基于hmac-sha256计算） | 参考下方 authorization 参数生成规则说明 |

### authorization参数生成
authorization由四个⼦参数拼接而成：api_key，algorithm，headers 和 signature。拼接格式及对应参数说明如下：
```
api_key="$api_key",algorithm="hmac-sha256",headers="host date request-line",signature="$signature"
```
| 参数     | 类型   | 是否必须 | 说明                     | 示例         |
| :------- | :----- | :--- | :----------------------- | :----------- |
| api_key   | string | 是   | AIUI应用信息中的APPKEY取值                                   | 726812ec4b28bfa901ef569fdc83ee35            |
| algorithm | string | 是   | 加密方式名称                                                 | 固定取值：hmac-sha256                       |
| headers   | string | 是   | 由 host、date、request-line三个字符串加空格拼接组成          | 固定取值：host date request-line            |
| signature | string | 是   | 由header、APISecret参数进行hmac-sha256加密，然后进行base64后得到 | 具体参考下方 header、signature 参数生成示例 |

#### 1. header 生成：

header参数拼接格式：
```
	host: $host\ndate: $date\n$request-line
```
<div style="display: flex; align-items: center; background-color: #fff3cd; border-left: 6px solid #ffc107; border-radius: 4px; padding: 12px 16px; gap: 8px;">
    <div style="width: 30px; height: 30px; flex-shrink: 0;">
        <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round">
            <path d="M12 9v2m0 4h.01m-6.938 4h13.856c1.54 0 2.502-1.667 1.732-3L13.732 4c-.77-1.333-2.694-1.333-3.464 0L3.34 16c-.77 1.333.192 3 1.732 3z"/>
        </svg>
    </div>
    <div style="flex: 1; line-height: 1.6;">
	<h3 style="margin: 0 0 6px 0; font-weight: 600;">注意：</h3>
        <p style="margin: 0; font-size: 0.95rem;">1、\n为换⾏符</p>
        <p style="margin: 0; font-size: 0.95rem;">2、冒号后⾯有⼀个空格</p>
        <p style="margin: 0; font-size: 0.95rem;">3、request-line不需要key参与拼接</p>
    </div>
</div>

对于request-line：
	ws请求的⽅式是GET，请求path为实际url地址， 请求协议是 HTTP/1.1
	http请求的方式是post，请求path为实际url地址 ，请求协议 HTTP/1.1

示例ws协议 host、date、request-line 参数拼接如下：
```
	host: aiui.xf-yun.com
	date: Wed, 23 Aug 2023 06:45:26 GMT
	GET /v2/aiint/ws HTTP/1.1
```
则 header 参数为：
```
	header="host: aiui.xf-yun.com\ndate: Wed, 23 Aug 2023 06:45:26 GMT\nGET /v2/aiint/ws HTTP/1.1"
```

#### 2. signature 生成：

1. AIUI平台应用信息中获取apiSecret参数
2. hmac-sha256算法对header、apiSecret签名
```
    signature_sha=hmac-sha256(header, $apiSecret)
```
3. signature_sha进行base64编码
```
    signature=base64(signature_sha)
```

### 代码示例(java)
```````java
	// 应用密钥信息
String apiKey = "xxx";
String apiSecret = "xxx";

// host 取值
String host = "aiui.xf-yun.com";
	// ws请求：GET， http请求：post
String method = "GET";

// date 取值
SimpleDateFormat df = new SimpleDateFormat("EEE, dd MMM yyyy HH:mm:ss z",Locale.US);
df.setTimeZone(TimeZone.getTimeZone("GMT"));
String date = df.format(new Date());
    /**
     * header 取值
     * 注意冒号后面有一个空格
     */
String header = "host: " + host + "\n" +
				 "date: " + date + "\n" +
				 method +" /v2/aiint/ws HTTP/1.1";

// signature 取值
String signature =  new String(Base64.encodeBase64(getHmacSha256(header,apiSecret)));		
    /**
     * 拼接 authorization 
     * api_key="$api_key",algorithm="hmac-sha256",headers="host date request-line",signature="$signature"
     */
String algorithm = "hmac-sha256";
String headers = "host date request-line";
String authorization_origin = String.format("api_key=\"%s\", algorithm=\"%s\", headers=\"%s\", signature=\"%s\"", apiKey, algorithm, headers, signature);
String authorization = new String(Base64.encodeBase64(authorization_origin.getBytes("UTF-8")));

public static byte[] getHmacSha256(String data,String key){	
	try {
		Mac mac = Mac.getInstance("HmacSHA256");
		byte[] keyBytes = key.getBytes(StandardCharsets.UTF_8);
		SecretKeySpec secretKey = new SecretKeySpec(keyBytes, "HmacSHA256");
		mac.init(secretKey);
		byte[] hmacBytes = mac.doFinal(data.getBytes(StandardCharsets.UTF_8));	
		return hmacBytes; 
	} catch (Exception e) {
		e.printStackTrace();
	}
	return null;
}	
```````