如何用Swift/CryptoKit生成AWS Signature Version 4签名密钥？

核心流程回顾 #

AWS SigV4 生成签名密钥的逻辑是固定的，kDate 作为第一步派生密钥，不符预期通常出在字符串编码、格式或HMAC字节处理上：

1. 初始密钥：kSecret = "AWS4" + 你的AWS Secret Access Key
2. kDate = HMAC-SHA256(kSecret, 日期戳（格式：YYYYMMDD）)
3. 后续的 kRegion、kService、kSigning 均基于前一步的密钥派生

正确的 Swift CryptoKit 实现代码 #

import CryptoKit

func generateAWSV4SigningKey(secretKey: String, dateStamp: String, region: String, service: String) -> Data {
    // 1. 生成带AWS4前缀的初始密钥
    let initialKeyData = "AWS4\(secretKey)".data(using: .utf8)!
    
    // 2. 生成 kDate
    let kDateDigest = HMAC<SHA256>.authenticationCode(
        for: dateStamp.data(using: .utf8)!,
        using: SymmetricKey(data: initialKeyData)
    )
    let kDate = Data(kDateDigest)
    
    // 3. 生成 kRegion
    let kRegionDigest = HMAC<SHA256>.authenticationCode(
        for: region.data(using: .utf8)!,
        using: SymmetricKey(data: kDate)
    )
    let kRegion = Data(kRegionDigest)
    
    // 4. 生成 kService
    let kServiceDigest = HMAC<SHA256>.authenticationCode(
        for: service.data(using: .utf8)!,
        using: SymmetricKey(data: kRegion)
    )
    let kService = Data(kServiceDigest)
    
    // 5. 生成最终签名密钥
    let signingKeyDigest = HMAC<SHA256>.authenticationCode(
        for: "aws4_request".data(using: .utf8)!,
        using: SymmetricKey(data: kService)
    )
    
    return Data(signingKeyDigest)
}

// 验证kDate的工具方法：转十六进制字符串和Ruby示例对比
func dataToHex(_ data: Data) -> String {
    return data.map { String(format: "%02x", $0) }.joined()
}

// 使用示例（替换为你的参数）
let secretKey = "your-secret-access-key"
let dateStamp = "20240520" // 必须是纯数字YYYYMMDD格式，无分隔符
let region = "us-east-1"
let service = "s3"

// 单独提取kDate验证
let initialKey = "AWS4\(secretKey)".data(using: .utf8)!
let kDateDigest = HMAC<SHA256>.authenticationCode(for: dateStamp.data(using: .utf8)!, using: SymmetricKey(data: initialKey))
print("kDate十六进制：\(dataToHex(Data(kDateDigest)))")

常见错误排查（针对kDate不符的情况） #

• 日期格式错误：必须是纯数字的YYYYMMDD（如20240520），不能带-或时间部分（如2024-05-20、20240520T120000Z）
• 编码错误：所有字符串转Data必须用.utf8，不能用.ascii或其他编码
• HMAC结果处理错误：CryptoKit返回的SHA256.Digest必须用Data(digest)转成原始字节，不能直接用digest.description（这会生成带格式的字符串，不是原始字节）
• 初始密钥前缀遗漏：必须加上AWS4前缀，直接使用secretKey会导致kDate完全错误

与Ruby示例的对比验证 #

Ruby中生成kDate的典型代码：

require 'openssl'

k_secret = "AWS4" + "your-secret-access-key"
k_date = OpenSSL::HMAC.digest('sha256', k_secret, '20240520')
puts k_date.unpack('H*').first # 输出十六进制字符串

将Swift生成的kDate十六进制字符串和Ruby输出对比，一致则说明kDate生成正确。

内容的提问来源于stack exchange，提问作者Skyler Lauren