使用IamCredentialsClient调用signBlob时遇INVALID_ARGUMENT错误求助

以下是你的Java代码中可能导致错误的几个关键点及修正方案：

1. 时区错误的时间戳 #

你使用LocalDateTime.now()生成的时间不带时区，而GCS要求必须使用UTC时间。这会导致签名中的时间与服务器时间不匹配，触发参数无效错误。

修正代码：

final ZonedDateTime currentTime = ZonedDateTime.now(ZoneOffset.UTC);
final String completeTimeStamp = currentTime.format(DateTimeFormatter.ofPattern("yyyyMMdd'T'HHmmss'Z'"));
final String credentialScope = currentTime.format(DateTimeFormatter.BASIC_ISO_DATE) + "/eu/storage/goog4_request";

2. 错误的换行符处理 #

代码中使用单引号包裹的' '不符合Java字符串换行规范，应该使用标准的"\n"，否则会导致规范请求（Canonical Request）格式错误。

修正代码：

final String canonicalHeader = "host:" + bucketName + ".storage.googleapis.com\n";
final String canonicalRequest =
        "PUT\n" +
        pathToResource + "\n" +
        canonicalQueryString + "\n" +
        canonicalHeader + "\n" +
        signedHeader + "\n" +
        "UNSIGNED-PAYLOAD";
final String stringToSign = "GOOG4-RSA-SHA256\n" +
        completeTimeStamp + "\n" +
        credentialScope + "\n" +
        hashedCanonicalRequest;

3. 手动URL编码遗漏问题 #

你手动替换@和/为URL编码值，但这种方式可能遗漏其他需要编码的字符，应该使用标准的URL编码工具类。

修正代码：

String credential = clientEmail + '/' + credentialScope;
credential = URLEncoder.encode(credential, StandardCharsets.UTF_8.name());

4. 签名值获取错误 #

调用signBlobCallable().call()返回的是SignBlobResponse对象，直接调用toString()会得到包含对象结构的字符串，而非纯签名值。需要提取Base64编码的签名内容。

修正代码：

SignBlobResponse response = iamCredentialsClient.signBlobCallable()
        .call(
                SignBlobRequest.newBuilder()
                        .setName(ServiceAccountName.of(projectId, clientEmail).toString())
                        .addAllDelegates(new ArrayList<>())
                        .setPayload(ByteString.copyFrom(stringToSign.getBytes(StandardCharsets.UTF_8)))
                        .build()
        );
final String signature = response.getSignature().toStringUtf8();

5. 检查expiration参数格式 #

确保expiration是字符串类型的秒数（比如"3600"表示1小时有效期），如果是数字类型，需要先转换为字符串，否则拼接查询字符串时会出现类型错误。

6. 验证CLOUD_URL模板 #

假设你的URL模板格式，要避免参数拼接时出现重复的?或&，可以直接明确拼接逻辑：

return String.format("https://%s.storage.googleapis.com%s?%s&X-Goog-Signature=%s",
        bucketName, pathToResource, canonicalQueryString, signature);

完成以上修正后，重新生成签名URL，应该可以解决INVALID_ARGUMENT错误。

内容的提问来源于stack exchange，提问作者pues esomismo