Как подписывать запросы для идентификатора клиента

Важно: Премиум-план платформы Google Maps больше недоступен для регистрации или новых клиентов.

Цифровые подписи

Как работают цифровые подписи

Цифровые подписи генерируются с использованием секретного ключа для подписи URL-адреса , или криптографического ключа, который доступен в консоли Google Cloud. Этот секретный ключ по сути является закрытым ключом, который передается только между вами и Google и уникален для вашего идентификатора клиента.

В процессе подписания используется алгоритм шифрования для объединения URL-адреса и вашего общего секрета. Полученная уникальная подпись позволяет нашим серверам проверять, что любой сайт, генерирующий запросы с использованием вашего идентификатора клиента, имеет на это право.

Подписание ваших запросов

Процесс подписания ваших запросов включает следующие шаги:

Шаг 1: Получите секретный ключ для подписи URL-адреса.

Чтобы получить секретный ключ для подписи URL-адреса вашего проекта:

  1. Перейдите на страницу «Идентификатор клиента» в консоли Cloud.
  2. В поле «Ключ» содержится ваш текущий секретный ключ для подписи URL-адреса идентификатора клиента.

Если вам необходимо повторно сгенерировать секретный ключ для подписи URL-адреса идентификатора клиента, обратитесь в службу поддержки .

Шаг 2: Составьте свой неподписанный запрос.

Символы, не указанные в таблице ниже, должны быть закодированы в формате URL:

Сводка допустимых символов URL-адреса
Набор персонажи использование URL
Буквенно-цифровой abcdefghijklm nopqrstuvwxyz ABCDEFGHIJKLM NOPQRSTUVWXYZ 0 1 2 3 4 5 6 7 8 9 Текстовые строки, используемая схема ( http ), порт ( 8080 ) и т. д.
Без ограничений - _ . ~ Текстовые строки
Сдержанный ! * ' ( ) ; : @ & = + $ , / ? % # [ ] Управляющие символы и/или текстовые строки

То же самое относится ко всем символам из зарезервированного набора, если они передаются внутри текстовой строки. Для получения дополнительной информации см. раздел «Специальные символы» .

Сформируйте URL-адрес запроса без подписи.

Обязательно укажите идентификатор клиента в параметре client . Например:

https://maps.googleapis.com/maps/api/staticmap?center=Z%C3%BCrich&size=400x400&client=YOUR_CLIENT_ID

Сгенерируйте подписанный запрос.

Для устранения неполадок вы можете автоматически сгенерировать цифровую подпись, используя доступный виджет «Подписать URL-адрес сейчас» .

Для динамически генерируемых запросов требуется подпись на стороне сервера , что включает в себя несколько дополнительных промежуточных шагов.

В любом случае, в итоге вы получите URL-адрес запроса, к концу которого будет добавлен параметр signature . Например:

https://maps.googleapis.com/maps/api/staticmap?center=Z%C3%BCrich&size=400x400&client=YOUR_CLIENT_ID
&signature=BASE64_SIGNATURE

  1. Удалите из URL-адреса части, относящиеся к схеме протокола и хосту, оставив только путь и запрос: 

    2. /maps/api/staticmap?center=Z%C3%BCrich&size=400x400&client=YOUR_CLIENT_ID

  2. Секретный ключ для подписи отображаемого URL-адреса закодирован в модифицированном формате Base64 для URL-адресов.

    Поскольку большинство криптографических библиотек требуют, чтобы ключ был в необработанном байтовом формате, вам, вероятно, потребуется декодировать секретный ключ для подписи URL-адреса в его исходный необработанный формат перед подписанием.

  3. Подпишите вышеуказанный запрос с использованием HMAC-SHA1.

  4. Поскольку большинство криптографических библиотек генерируют подпись в формате необработанных байтов, вам потребуется преобразовать полученную двоичную подпись, используя модифицированный Base64 для URL-адресов, чтобы преобразовать ее в формат, который можно передать в URL-адресе.

  5. Добавьте закодированную в Base64 подпись к исходному неподписанному URL-адресу запроса в параметре signature . Например:

    https://maps.googleapis.com/maps/api/staticmap?center=Z%C3%BCrich&size=400x400&client=YOUR_CLIENT_ID
&signature=BASE64_SIGNATURE

Примеры реализации подписи URL-адресов с использованием серверного кода см. в разделе «Пример кода для подписи URL-адресов» ниже.

Пример кода для подписи URL-адреса

В следующих разделах показаны способы реализации подписи URL-адресов с использованием серверного кода. Подпись URL-адресов всегда должна выполняться на стороне сервера, чтобы избежать раскрытия пользователям секретного ключа подписи URL-адреса.

Python

В приведенном ниже примере для подписи URL-адреса используются стандартные библиотеки Python. ( Скачать код.)

#!/usr/bin/python
# -*- coding: utf-8 -*-
""" Signs a URL using a URL signing secret """

import hashlib
import hmac
import base64
import urllib.parse as urlparse


def sign_url(input_url=None, secret=None):
    """ Sign a request URL with a URL signing secret.
      Usage:
      from urlsigner import sign_url
      signed_url = sign_url(input_url=my_url, secret=SECRET)
      Args:
      input_url - The URL to sign
      secret    - Your URL signing secret
      Returns:
      The signed request URL
  """

    if not input_url or not secret:
        raise Exception("Both input_url and secret are required")

    url = urlparse.urlparse(input_url)

    # We only need to sign the path+query part of the string
    url_to_sign = url.path + "?" + url.query

    # Decode the private key into its binary format
    # We need to decode the URL-encoded private key
    decoded_key = base64.urlsafe_b64decode(secret)

    # Create a signature using the private key and the URL-encoded
    # string using HMAC SHA1. This signature will be binary.
    signature = hmac.new(decoded_key, str.encode(url_to_sign), hashlib.sha1)

    # Encode the binary signature into base64 for use within a URL
    encoded_signature = base64.urlsafe_b64encode(signature.digest())

    original_url = url.scheme + "://" + url.netloc + url.path + "?" + url.query

    # Return signed URL
    return original_url + "&signature=" + encoded_signature.decode()


if __name__ == "__main__":
    input_url = input("URL to Sign: ")
    secret = input("URL signing secret: ")
    print("Signed URL: " + sign_url(input_url, secret))

Java

В приведенном ниже примере используется класс java.util.Base64 , доступный начиная с JDK 1.8 — в более старых версиях может потребоваться использование Apache Commons или аналогичного класса. ( Скачать код.)

import java.io.IOException;
import java.io.UnsupportedEncodingException;
import java.net.URI;
import java.net.URISyntaxException;
import java.security.InvalidKeyException;
import java.security.NoSuchAlgorithmException;
import java.util.Base64;  // JDK 1.8 only - older versions may need to use Apache Commons or similar.
import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.net.URL;
import java.io.BufferedReader;
import java.io.InputStreamReader;

public class UrlSigner {

  // Note: Generally, you should store your private key someplace safe
  // and read them into your code

  private static String keyString = "YOUR_PRIVATE_KEY";
  
  // The URL shown in these examples is a static URL which should already
  // be URL-encoded. In practice, you will likely have code
  // which assembles your URL from user or web service input
  // and plugs those values into its parameters.
  private static String urlString = "YOUR_URL_TO_SIGN";

  // This variable stores the binary key, which is computed from the string (Base64) key
  private static byte[] key;
  
  public static void main(String[] args) throws IOException,
    InvalidKeyException, NoSuchAlgorithmException, URISyntaxException {
    
    BufferedReader input = new BufferedReader(new InputStreamReader(System.in));
    
    String inputUrl, inputKey = null;

    // For testing purposes, allow user input for the URL.
    // If no input is entered, use the static URL defined above.    
    System.out.println("Enter the URL (must be URL-encoded) to sign: ");
    inputUrl = input.readLine();
    if (inputUrl.equals("")) {
      inputUrl = urlString;
    }
    
    // Convert the string to a URL so we can parse it
    URL url = new URL(inputUrl);
 
    // For testing purposes, allow user input for the private key.
    // If no input is entered, use the static key defined above.   
    System.out.println("Enter the Private key to sign the URL: ");
    inputKey = input.readLine();
    if (inputKey.equals("")) {
      inputKey = keyString;
    }
    
    UrlSigner signer = new UrlSigner(inputKey);
    String request = signer.signRequest(url.getPath(),url.getQuery());
    
    System.out.println("Signed URL :" + url.getProtocol() + "://" + url.getHost() + request);
  }
  
  public UrlSigner(String keyString) throws IOException {
    // Convert the key from 'web safe' base 64 to binary
    keyString = keyString.replace('-', '+');
    keyString = keyString.replace('_', '/');
    System.out.println("Key: " + keyString);
    // Base64 is JDK 1.8 only - older versions may need to use Apache Commons or similar.
    this.key = Base64.getDecoder().decode(keyString);
  }

  public String signRequest(String path, String query) throws NoSuchAlgorithmException,
    InvalidKeyException, UnsupportedEncodingException, URISyntaxException {
    
    // Retrieve the proper URL components to sign
    String resource = path + '?' + query;
    
    // Get an HMAC-SHA1 signing key from the raw key bytes
    SecretKeySpec sha1Key = new SecretKeySpec(key, "HmacSHA1");

    // Get an HMAC-SHA1 Mac instance and initialize it with the HMAC-SHA1 key
    Mac mac = Mac.getInstance("HmacSHA1");
    mac.init(sha1Key);

    // compute the binary signature for the request
    byte[] sigBytes = mac.doFinal(resource.getBytes());

    // base 64 encode the binary signature
    // Base64 is JDK 1.8 only - older versions may need to use Apache Commons or similar.
    String signature = Base64.getEncoder().encodeToString(sigBytes);
    
    // convert the signature to 'web safe' base 64
    signature = signature.replace('+', '-');
    signature = signature.replace('/', '_');
    
    return resource + "&signature=" + signature;
  }
}

Node JS

В приведенном ниже примере для подписи URL-адреса используются встроенные модули Node.js. ( Скачать код.)

'use strict'

const crypto = require('crypto');
const url = require('url');

/**
 * Convert from 'web safe' base64 to true base64.
 *
 * @param  {string} safeEncodedString The code you want to translate
 *                                    from a web safe form.
 * @return {string}
 */
function removeWebSafe(safeEncodedString) {
  return safeEncodedString.replace(/-/g, '+').replace(/_/g, '/');
}

/**
 * Convert from true base64 to 'web safe' base64
 *
 * @param  {string} encodedString The code you want to translate to a
 *                                web safe form.
 * @return {string}
 */
function makeWebSafe(encodedString) {
  return encodedString.replace(/\+/g, '-').replace(/\//g, '_');
}

/**
 * Takes a base64 code and decodes it.
 *
 * @param  {string} code The encoded data.
 * @return {string}
 */
function decodeBase64Hash(code) {
  // "new Buffer(...)" is deprecated. Use Buffer.from if it exists.
  return Buffer.from ? Buffer.from(code, 'base64') : new Buffer(code, 'base64');
}

/**
 * Takes a key and signs the data with it.
 *
 * @param  {string} key  Your unique secret key.
 * @param  {string} data The url to sign.
 * @return {string}
 */
function encodeBase64Hash(key, data) {
  return crypto.createHmac('sha1', key).update(data).digest('base64');
}

/**
 * Sign a URL using a secret key.
 *
 * @param  {string} path   The url you want to sign.
 * @param  {string} secret Your unique secret key.
 * @return {string}
 */
function sign(path, secret) {
  const uri = url.parse(path);
  const safeSecret = decodeBase64Hash(removeWebSafe(secret));
  const hashedSignature = makeWebSafe(encodeBase64Hash(safeSecret, uri.path));
  return url.format(uri) + '&signature=' + hashedSignature;
}

C#

В приведенном ниже примере для подписи URL-запроса используется стандартная библиотека System.Security.Cryptography . Обратите внимание, что нам необходимо преобразовать стандартное кодирование Base64 для реализации версии, безопасной для URL-адресов. ( Скачать код.)

using System;
using System.Collections.Generic;
using System.Security.Cryptography;
using System.Text;
using System.Text.RegularExpressions;
using System.Web;

namespace SignUrl {

  public struct GoogleSignedUrl {

    public static string Sign(string url, string keyString) {
      ASCIIEncoding encoding = new ASCIIEncoding();

      // converting key to bytes will throw an exception, need to replace '-' and '_' characters first.
      string usablePrivateKey = keyString.Replace("-", "+").Replace("_", "/");
      byte[] privateKeyBytes = Convert.FromBase64String(usablePrivateKey);

      Uri uri = new Uri(url);
      byte[] encodedPathAndQueryBytes = encoding.GetBytes(uri.LocalPath + uri.Query);

      // compute the hash
      HMACSHA1 algorithm = new HMACSHA1(privateKeyBytes);
      byte[] hash = algorithm.ComputeHash(encodedPathAndQueryBytes);

      // convert the bytes to string and make url-safe by replacing '+' and '/' characters
      string signature = Convert.ToBase64String(hash).Replace("+", "-").Replace("/", "_");
            
      // Add the signature to the existing URI.
      return uri.Scheme+"://"+uri.Host+uri.LocalPath + uri.Query +"&signature=" + signature;
    }
  }

  class Program {

    static void Main() {
    
      // Note: Generally, you should store your private key someplace safe
      // and read them into your code

      const string keyString = "YOUR_PRIVATE_KEY";
  
      // The URL shown in these examples is a static URL which should already
      // be URL-encoded. In practice, you will likely have code
      // which assembles your URL from user or web service input
      // and plugs those values into its parameters.
      const  string urlString = "YOUR_URL_TO_SIGN";
      
      string inputUrl = null;
      string inputKey = null;
    
      Console.WriteLine("Enter the URL (must be URL-encoded) to sign: ");
      inputUrl = Console.ReadLine();
      if (inputUrl.Length == 0) {
        inputUrl = urlString;
      }     
    
      Console.WriteLine("Enter the Private key to sign the URL: ");
      inputKey = Console.ReadLine();
      if (inputKey.Length == 0) {
        inputKey = keyString;
      }
      
      Console.WriteLine(GoogleSignedUrl.Sign(inputUrl,inputKey));
    }
  }
}

Примеры на других языках

Примеры, охватывающие больше языков, доступны в проекте url-signing .

Поиск неисправностей

Если запрос содержит недействительную подпись, API возвращает ошибку HTTP 403 (Forbidden) . Эта ошибка, скорее всего, возникает, если используемый секретный ключ подписи не связан с переданным идентификатором клиента или если входные данные, не содержащие ASCII-символов, не закодированы в URL-формате перед подписанием.

Для устранения проблемы скопируйте URL-адрес запроса, удалите параметр запроса signature и сгенерируйте действительную подпись, следуя инструкциям ниже:

Чтобы сгенерировать цифровую подпись с вашим идентификатором клиента, воспользуйтесь виджетом «Подписать URL-адрес сейчас» ниже:

  1. Получите секретный ключ для подписи URL-адреса с идентификатором клиента, как описано в Шаге 1: Получение секретного ключа для подписи URL-адреса .
  2. В поле URL вставьте URL-адрес вашего неподписанного запроса из шага 2: Создание неподписанного запроса .
  3. В поле «Секретный ключ для подписи URL» вставьте свой секретный ключ для подписи URL, полученный на шаге 2.
    На основе вашего неподписанного URL-адреса запроса и секретного ключа подписи генерируется цифровая подпись, которая затем добавляется к вашему исходному URL-адресу.
  4. В появившемся поле «Ваш подписанный URL» будет указан ваш URL-адрес с цифровой подписью.