AWS API Gateway使用IAM认证带查询参数时签名不匹配问题

核心原因 #

AWS SigV4签名对GET请求的查询参数有严格要求：必须按参数名的ASCII升序排列，且参数值需正确URL编码。你当前请求的参数顺序是a=${v1}&b=${v2}，但AWS计算签名时使用的是b=def&a=abc（ASCII升序）的顺序，导致签名不匹配。

解决方案 #

方案1：手动按ASCII升序排列查询参数 #

直接调整URL中参数的顺序，让参数名按A-Z的ASCII顺序排列：

curl -s GET "https://<ID>.execute-api.us-west-2.amazonaws.com/dev?b=${v2}&a=${v1}" \
--header "x-amz-security-token: ${SESSION_TOKEN}" \
--user $ACCESS_KEY:$SECRET_KEY \
--aws-sigv4 "aws:amz:us-west-2:execute-api" | jq .

方案2：使用curl自动处理参数排序与编码 #

借助curl的-G（将POST数据转为GET查询参数）和--data-urlencode参数，让curl自动完成参数排序、URL编码，避免手动出错：

curl -s -G "https://<ID>.execute-api.us-west-2.amazonaws.com/dev" \
--header "x-amz-security-token: ${SESSION_TOKEN}" \
--user $ACCESS_KEY:$SECRET_KEY \
--aws-sigv4 "aws:amz:us-west-2:execute-api" \
--data-urlencode "a=${v1}" \
--data-urlencode "b=${v2}" | jq .

额外注意事项 #

• 参数编码：如果参数值包含特殊字符（如&、=、空格等），必须进行URL编码，--data-urlencode会自动处理这一步，手动拼接URL时容易遗漏。
• 临时令牌：x-amz-security-token无需加入SigV4签名的头部列表，只需作为请求头正常发送即可，你的当前配置是正确的。
• 时间同步：虽然你无参数请求正常，但如果本地系统时间与AWS服务器时间偏差超过5分钟，也会触发签名失败，需确保本地时间同步。

内容的提问来源于stack exchange，提问作者Ajay