新版Postman生成的AWS签名与自研Java/JS算法不符问题排查求助

问题 #

我按照AWS官方文档实现了生成AWS签名的Java算法，操作流程如下：

• 从AWS账户获取密钥对（secret key、access key）和token；
• 使用Linux版Postman v8.12.5，通过AWS Signature认证发起请求，请求执行成功；
• 获取Postman生成的签名及所用的X-AMZ-DATE；
• 运行自研Java算法，验证签名与Postman v8.12.5生成的完全一致。

但同事使用Postman 9+版本执行相同步骤时，请求虽成功，但生成的签名与自研Java算法不符。同事基于该Java算法实现的JS算法，与Java生成的签名一致，仅新版Postman生成的签名不匹配，且双方确认请求的头信息数量和类型完全一致。

可能的原因分析 #

• Postman新版默认签名参数变更：Postman 9+可能对AWS Signature的默认实现做了调整，比如默认启用了Signature Version 4a而非原有的Signature Version 4，或者默认使用了不同的哈希算法。可以检查新版Postman的AWS Signature配置面板，确认签名版本、哈希算法等参数是否和v8.12.5一致。
• 隐式头部的差异处理：虽然表面上头信息数量和类型一致，但Postman新版可能自动添加了某些隐式头部（比如Host头部的格式处理、对空值头部的处理逻辑），或者在签名时对头部的排序、大小写处理做了调整。AWS SigV4要求签名的头部必须按特定规则排序并规范化，哪怕是隐式头部的细微差异都会导致签名不一致。
• 请求体的处理差异：如果请求包含请求体，Postman新版可能默认对空请求体的处理方式改变（比如是否生成空的哈希值），或者自动添加了Content-Length等头部并纳入签名范围，而旧版没有。需要确认请求体的哈希计算逻辑是否一致，以及是否有相关头部被纳入签名但未被察觉。
• Token的处理逻辑变化：对于临时凭证的token（X-Amz-Security-Token），Postman新版可能在签名时的处理方式不同，比如是否将其纳入签名的头部列表，或者对token的编码、截断逻辑有调整。
• Postman内部的签名实现更新：Postman可能在新版中更新了AWS SigV4的实现库，修复了旧版的某些不符合规范的逻辑，而自研算法沿用了旧版Postman的“非标准”实现，导致两者签名不一致。比如旧版Postman可能对某些字符的编码不符合AWS官方规范，新版修正后，自研算法的编码逻辑就会和新版Postman产生差异。

内容的提问来源于stack exchange，提问作者Marco