如何用Web Cryptography API实现AWS Signature Version 4签名密钥？

我看到你在尝试用浏览器原生的SubtleCrypto模块替代CryptoJS来生成AWS签名所需的HMAC-SHA256值，但输出结果不符合预期。问题出在密钥的处理方式上，下面来一步步分析和修正：

问题根源 #

你的kSecret是十六进制编码的字符串（对应原始的AWS4wJalrXUtnFEMI/K7MDENG+bPxRfiCYEXAMPLEKEY），但你直接用TextEncoder.encode(kSecret)把这个十六进制字符串转换成了字节数组——这相当于把每个十六进制字符（比如'4'、'1'、'5'）单独编码成字节，而不是把十六进制字符串解码成它代表的原始字节序列。这就导致你传入HMAC的密钥完全错误，自然得不到正确的结果。

修正后的代码 #

我们需要先把十六进制的kSecret解码成原始字节数组，再进行HMAC签名。下面是修正后的完整代码：

// 十六进制形式的AWS4前缀密钥
const kSecretHex = '41575334774a616c725855746e46454d492f4b374d44454e472b62507852666943594558414d504c454b4559';
const dateStamp = '20120215';

// 新增：将十六进制字符串解码为Uint8Array
function _hexToBinary(hexStr) {
  const bytes = new Uint8Array(hexStr.length / 2);
  for (let i = 0; i < hexStr.length; i += 2) {
    bytes[i / 2] = parseInt(hexStr.substring(i, i + 2), 16);
  }
  return bytes;
}

function _binaryToHex(array) {
  return array.map(b => ('00' + b.toString(16)).slice(-2)).join('');
}

async function _importKey(keyDataArrayBuffer) {
  return crypto.subtle.importKey(
    'raw',
    keyDataArrayBuffer,
    { name: 'HMAC', hash: { name: 'SHA-256' } },
    false,
    ['sign']
  );
}

// 修正密钥处理逻辑
async function generateKDate() {
  // 将十六进制密钥解码为原始字节
  const keyBytes = _hexToBinary(kSecretHex);
  const key = await _importKey(keyBytes.buffer);
  
  // 对dateStamp进行HMAC签名
  const signature = await crypto.subtle.sign(
    'HMAC',
    key,
    new TextEncoder().encode(dateStamp)
  );
  
  // 转换为十六进制字符串
  return _binaryToHex(Array.from(new Uint8Array(signature)));
}

// 执行并输出结果
generateKDate().then(kDate => {
  console.log(kDate);
  // 预期输出：969fbb94feb542b71ede6f87fe4d5fa29c789342b0f407474670f0c2489e0a0d
});

关键修正点 #

• 新增_hexToBinary函数：负责把十六进制字符串转换成对应的原始字节数组，这是还原正确密钥的核心步骤。
• 调整密钥导入逻辑：不再直接编码十六进制字符串，而是先解码得到原始密钥字节，再传入_importKey。
• 改用异步函数封装：因为subtle.sign和importKey都是异步操作，用async/await让代码更清晰。

测试这段代码后，你会得到预期的十六进制输出，完全匹配CryptoJS生成的结果。

内容的提问来源于stack exchange，提问作者Vitaly Zdanevich