Java调用AWS STS获取Authorization Header用于Vault令牌的问题

问题原因 #

AWS Java SDK在执行请求后，不会将Authorization头包含在返回的SdkHttpMetadata中——这是因为签名逻辑是SDK内部封装的敏感操作，默认不会向外暴露这个头信息。而你的Python代码是在请求发送前就构建出了完整的请求对象，因此能直接获取到签名后的Authorization头。

解决方案：通过请求拦截器捕获签名后的请求头 #

要在Java中实现类似Python的逻辑，需要通过AWS SDK的RequestHandler2拦截请求构建过程，在请求发送前获取完整的请求头（包括Authorization），同时可以添加Vault需要的X-Vault-AWS-IAM-Server-ID头。

步骤1：自定义请求拦截器 #

创建一个RequestHandler2的实现类，用于捕获请求头并保存：

import com.amazonaws.handlers.RequestHandler2;
import com.amazonaws.http.HttpRequest;
import java.util.Map;
import java.util.concurrent.ConcurrentHashMap;

public class StsHeaderCaptureHandler extends RequestHandler2 {
    private final Map<String, String> capturedHeaders = new ConcurrentHashMap<>();
    private String serverId;

    public StsHeaderCaptureHandler(String serverId) {
        this.serverId = serverId;
    }

    @Override
    public void beforeRequest(HttpRequest request) {
        // 添加Vault需要的X-Vault-AWS-IAM-Server-ID头
        request.addHeader("X-Vault-AWS-IAM-Server-ID", serverId);
        // 捕获所有请求头，包括Authorization
        request.getHeaders().forEach((key, value) -> capturedHeaders.put(key, value));
    }

    public Map<String, String> getCapturedHeaders() {
        return capturedHeaders;
    }
}

步骤2：修改STS客户端构建逻辑 #

在构建STS客户端时添加自定义拦截器，执行请求后从拦截器中获取捕获的头：

// 创建拦截器实例，传入Vault的IAM Server ID
String vaultServerId = "your-vault-server-id";
StsHeaderCaptureHandler headerHandler = new StsHeaderCaptureHandler(vaultServerId);

AWSSecurityTokenService stsClient = AWSSecurityTokenServiceClientBuilder.standard()
        .withEndpointConfiguration(new AwsClientBuilder.EndpointConfiguration(iamRequestUrl, regionName))
        .withCredentials(DefaultAWSCredentialsProviderChain.getInstance())
        .withRequestHandlers(headerHandler) // 添加自定义拦截器
        .build();

GetCallerIdentityRequest callerIdentityRequest = new GetCallerIdentityRequest();
stsClient.getCallerIdentity(callerIdentityRequest);

// 从拦截器中获取包含Authorization的所有请求头
Map<String, String> requestHeaders = headerHandler.getCapturedHeaders();
// 打印或处理Authorization头
System.out.println("Authorization Header: " + requestHeaders.get("Authorization"));

关键说明 #

• 拦截器的beforeRequest方法会在请求签名完成后、发送前被调用，此时的请求头已经包含了签名后的Authorization信息。
• 这种方式和你的Python代码逻辑一致：都是在请求构建阶段获取完整的签名请求数据，而不是依赖请求返回后的元数据。

内容的提问来源于stack exchange，提问作者rrourke