在Apache2代理前添加AWS签名认证头的可行方案咨询

以下是几种可落地的实现方案，涵盖不同复杂度和性能需求：

1. 使用mod_lua模块（推荐，灵活性高） #

利用Apache的mod_lua模块嵌入Lua脚本，在请求读取阶段生成签名并注入头信息，性能优于外部程序调用。

步骤： #

• 确保Apache已启用mod_lua（可通过apache2ctl -M检查，未启用则安装对应包并配置加载）
• 编写Lua脚本实现签名逻辑，示例如下：

function add_aws_headers(r)
    -- 生成符合AWS格式的UTC时间戳
    local date = os.date("%Y%m%dT%H%M%SZ")
    local access_key = "YOUR_AWS_ACCESS_KEY"
    local secret_key = "YOUR_AWS_SECRET_KEY"

    -- 构建签名字符串（需根据AWS签名版本调整，示例为简化版，实际需包含请求方法、URI等关键信息）
    local signing_string = string.format("%s\n%s", r.method, r.uri)
    signing_string = signing_string .. "\n" .. date

    -- 计算HMAC-SHA256签名
    local hmac = require("openssl.hmac")
    local signature = hmac.digest("sha256", signing_string, secret_key, true)
    -- 若Lua环境无ngx模块，替换为对应base64编码实现
    local base64 = require("base64")
    signature = base64.encode(signature)

    -- 注入请求头
    r.headers_in:set("x-amz-date", date)
    r.headers_in:set("Authorization", "AWS " .. access_key .. ":" .. signature)

    return apache2.OK
end

• 在Apache反向代理的配置块中调用该脚本：

<Location /your-proxy-path>
    LuaHookReadRequest /path/to/aws_signature.lua add_aws_headers
    ProxyPass https://your-aws-service-endpoint
    ProxyPassReverse https://your-aws-service-endpoint
</Location>

2. 使用mod_perl模块 #

通过Perl脚本处理请求，适合熟悉Perl生态的开发者，性能接近mod_lua。

步骤： #

• 安装并启用mod_perl模块
• 编写Perl处理模块，示例如下：

package Apache::AWS_Signer;
use strict;
use Apache2::RequestRec;
use Apache2::Const -compile => qw(OK);
use Digest::HMAC_SHA256;
use MIME::Base64;
use POSIX qw(strftime);

sub handler {
    my $r = shift;
    my $date = strftime("%Y%m%dT%H%M%SZ", gmtime);
    my $access_key = "YOUR_AWS_ACCESS_KEY";
    my $secret_key = "YOUR_AWS_SECRET_KEY";

    # 构建签名字符串（根据AWS签名规范完善）
    my $signing_string = join("\n", $r->method, $r->uri, $date);
    my $hmac = Digest::HMAC_SHA256->new($secret_key);
    $hmac->add($signing_string);
    my $signature = encode_base64($hmac->digest, '');

    # 设置请求头
    $r->headers_in->set('x-amz-date' => $date);
    $r->headers_in->set('Authorization' => "AWS $access_key:$signature");

    return Apache2::Const::OK;
}
1;

• 在Apache配置中启用该处理程序：

<Location /your-proxy-path>
    PerlPostReadRequestHandler Apache::AWS_Signer
    ProxyPass https://your-aws-service-endpoint
    ProxyPassReverse https://your-aws-service-endpoint
</Location>

3. 使用RewriteMap结合外部程序 #

适合快速原型或已有签名生成脚本的场景，性能略低于嵌入模块方案，需注意外部程序的稳定性。

步骤： #

• 编写可执行的签名生成脚本（以Python为例）：

#!/usr/bin/env python3
import sys
import time
import hmac
import hashlib
import base64

ACCESS_KEY = "YOUR_AWS_ACCESS_KEY"
SECRET_KEY = "YOUR_AWS_SECRET_KEY"

def generate_signature(method, uri, date):
    signing_string = f"{method}\n{uri}\n{date}".encode('utf-8')
    signature = hmac.new(SECRET_KEY.encode('utf-8'), signing_string, hashlib.sha256).digest()
    return base64.b64encode(signature).decode('utf-8')

# 保持长运行，处理Apache的请求输入
while True:
    input_line = sys.stdin.readline().strip()
    if not input_line:
        break
    method, uri = input_line.split(' ', 1)
    date = time.strftime("%Y%m%dT%H%M%SZ", time.gmtime())
    signature = generate_signature(method, uri, date)
    # 返回格式：date\tAuthorization值
    print(f"{date}\tAWS {ACCESS_KEY}:{signature}")
    sys.stdout.flush()

• 给脚本添加执行权限：chmod +x /path/to/aws_sign_generator.py
• 在Apache配置中配置RewriteMap并注入头：

RewriteMap aws_sign prg:/path/to/aws_sign_generator.py
RewriteEngine On

<Location /your-proxy-path>
    # 传递请求方法和URI给外部脚本
    RewriteRule ^(.*)$ - [E=SIGN_INPUT:%{REQUEST_METHOD} $1]
    # 获取生成的日期和签名
    RewriteRule ^(.*)$ - [E=AMZ_DATE:${aws_sign:%{ENV:SIGN_INPUT}},E=AUTH_HEADER:${aws_sign:%{ENV:SIGN_INPUT}}]
    # 设置请求头
    RequestHeader set x-amz-date "%{AMZ_DATE}e"
    RequestHeader set Authorization "%{AUTH_HEADER}e"
    
    ProxyPass https://your-aws-service-endpoint
    ProxyPassReverse https://your-aws-service-endpoint
</Location>

4. 自定义Apache C模块 #

追求极致性能时可选择，需熟悉Apache模块开发API，适合高并发场景。

步骤： #

• 基于Apache的模块开发框架，实现请求处理钩子（如post_read_request）
• 在钩子函数中计算AWS签名，调用Apache的API设置x-amz-date和Authorization头
• 编译模块并在Apache配置中加载启用

内容的提问来源于stack exchange，提问作者TomJava