使用AWS SDK for Java 2.x接收SNS HTTP消息的签名验证方案咨询

针对AWS SNS HTTP消息签名验证的Java解决方案 #

官方维护方案 #

AWS官方提供了专门的SNS消息签名验证库，适配Java SDK 2.x生态，相比自己按照文档实现的逻辑，有以下优势：

• 内置处理所有消息类型（订阅确认、普通通知、退订确认）的签名拼接规则，不需要自己逐一梳理字段顺序，避免人为逻辑错误
• 自动完成签名证书的合法性校验、下载与缓存，无需额外处理证书来源验证、重复请求优化等安全细节
• 同时支持签名版本1和签名版本2的校验，覆盖AWS SNS全量签名规则，你现有代码仅支持版本1的问题可直接解决

引入依赖后，只需要调用几行API即可完成验证，无需自己手写核心校验逻辑。

社区成熟方案 #

如果你的项目基于Spring生态，可以直接使用Spring Cloud AWS SNS模块的内置验证功能：

• 开箱即用，仅需在配置项中开启签名验证开关，框架会自动对所有收到的SNS消息完成校验，校验失败会直接拦截请求
• 该模块由Spring官方社区维护，迭代更新稳定，和Spring Boot/Spring Cloud生态的兼容性好，不需要额外做适配

现有自定义实现的优化建议 #

如果不想引入额外依赖，你当前的代码可以补充两个优化点：

1. 新增签名版本2的校验逻辑，AWS目前已经默认支持安全性更高的V2版本签名，避免后续SNS升级签名版本后你的校验逻辑失效
2. 补充证书来源校验逻辑，必须确认用于校验的签名证书来自AWS官方域名，同时对下载后的证书做1-2小时的缓存，降低请求开销同时避免证书伪造攻击

你现有逻辑的优化后参考代码如下：

public void verifySignature(SnsMessage message) {
    String signatureVersion = message.getSignatureVersion();
    if ("1".equals(signatureVersion)) {
        if (isMessageSignatureVersion1Valid(message)) {
            log.info("Signature verification succeeded");
        } else {
            log.info("Signature verification failed");
            throw new SecurityException("Signature verification failed.");
        }
    } else if ("2".equals(signatureVersion)) {
        if (isMessageSignatureVersion2Valid(message)) {
            log.info("Signature verification succeeded");
        } else {
            log.info("Signature verification failed");
            throw new SecurityException("Signature verification failed.");
        }
    } else {
        log.info("Unexpected signature version. Unable to verify signature.");
        throw new SecurityException("Unexpected signature version. Unable to verify signature.");
    }
}

内容的提问来源于stack exchange，提问作者yshin