1、背景介绍

最近有个项目，需要通过网页上传文件到对象存储中，在查看COS快速入门时，文档建议使用获取临时密钥：

由于固定密钥放在前端会有安全风险，正式部署时我们推荐使用临时密钥的方式，实现过程为：前端首先请求服务端，服务端使用固定密钥调用 STS 服务申请临时密钥（具体内容请参见临时密钥生成和使用指引文档），然后返回临时密钥到前端使用。

没想到这个过程一言难尽啊。

2、开箱即用

先贴代码，以备后用，注意：这里的代码仅适合JavaScript和Go配合，特别是前端代码，和官网例子也是有区别的。

后端采用gin框架，这里假设绑定到URL地址为/api/sts，r.POST("/sts", tencentSTS)

这段代码授予了临时密钥所有的权限，实际使用时，建议按照最小权限原则进行授权，详细权限可以参考COS API 授权策略使用指引。

package api

import (
	"github.com/gin-gonic/gin"
	"github.com/tencentyun/qcloud-cos-sts-sdk/go"
	"strings"
	"time"
)

type STSRequest struct {
	Region string
	Bucket string
}

func tencentSTS(c *gin.Context) {

	var request STSRequest
	if err := c.ShouldBindJSON(&request); err != nil {
		c.JSON(500, err)
		return
	}
	// 云 API 密钥 SecretId 建议通过环境变量或者本地文件来读取
	secretId := "<SecretId>"
	// 云 API 密钥 SecretKey 建议通过环境变量或者本地文件来读取
	secretKey := "<SecretKey>"
	appid := request.Bucket[strings.LastIndex(request.Bucket, "-")+1:]
	bucket := request.Bucket
	region := request.Region
	client := sts.NewClient(secretId, secretKey, nil)
	// 策略概述 https://cloud.tencent.com/document/product/436/18023
	opt := &sts.CredentialOptions{
		DurationSeconds: int64(time.Hour.Seconds()),
		Region:          "ap-guangzhou",
		Policy: &sts.CredentialPolicy{
			Statement: []sts.CredentialPolicyStatement{
				{
					Action: []string{
						// 所有权限
						"*",
					},
					Effect: "allow",
					Resource: []string{
						//这里改成允许的路径前缀，可以根据自己网站的用户登录态判断允许上传的具体路径，例子： a.jpg 或者 a/* 或者 * (使用通配符*存在重大安全风险, 请谨慎评估使用)
						//存储桶的命名格式为 BucketName-APPID，此处填写的 bucket 必须为此格式
						"qcs::cos:" + region + ":uid/" + appid + ":" + bucket + "/*",
					},
				},
			},
		},
	}
	if res, err := client.GetCredential(opt); err != nil {
		c.JSON(500, err)
	} else {
		c.JSON(200, res)
	}
}

const cos = new COS({
  getAuthorization: function (options, callback) {
    // 异步获取临时密钥
    // 服务端 JS 和 PHP 例子：https://github.com/tencentyun/cos-js-sdk-v5/blob/master/server/
    // 服务端其他语言参考 COS STS SDK ：https://github.com/tencentyun/qcloud-cos-sts-sdk
    // STS 详细文档指引看：https://cloud.tencent.com/document/product/436/14048
    const url = '/api/sts' // url 替换成您自己的后端服务
    const xhr = new XMLHttpRequest()
    xhr.open('POST', url, true)
    xhr.onload = function () {
      try {
        const data = JSON.parse(this.responseText)
        const credentials = data.Credentials
        if (!data || !credentials) {
          return console.error('credentials invalid:\n' + JSON.stringify(data, null, 2))
        }
        callback({
          TmpSecretId: credentials.TmpSecretId,
          TmpSecretKey: credentials.TmpSecretKey,
          SecurityToken: credentials.Token,
          // 建议返回服务器时间作为签名的开始时间，避免用户浏览器本地时间偏差过大导致签名错误
          StartTime: data.StartTime, // 时间戳，单位秒，如：1580000000
          ExpiredTime: data.ExpiredTime // 时间戳，单位秒，如：1580000000
        })
      } catch (e) {
        console.error('credentials invalid:' + e)
      }
    }
    xhr.send(JSON.stringify(options))
  }
})

3、开始吐槽

接下来是吐槽时间：

Go SDK中对CredentialResult和Credentials的定义如下

type Credentials struct {
	TmpSecretID  string `json:"TmpSecretId,omitempty"`
	TmpSecretKey string `json:"TmpSecretKey,omitempty"`
	SessionToken string `json:"Token,omitempty"`
}

type CredentialResult struct {
	Credentials *Credentials     `json:"Credentials,omitempty"`
	ExpiredTime int              `json:"ExpiredTime,omitempty"`
	Expiration  string           `json:"Expiration,omitempty"`
	StartTime   int              `json:"StartTime,omitempty"`
	RequestId   string           `json:"RequestId,omitempty"`
	Error       *CredentialError `json:"Error,omitempty"`
}

官网JavaScript代码如下：

callback({
      TmpSecretId: credentials.tmpSecretId,
      TmpSecretKey: credentials.tmpSecretKey,
      SecurityToken: credentials.sessionToken,
      // 建议返回服务器时间作为签名的开始时间，避免用户浏览器本地时间偏差过大导致签名错误
      StartTime: data.startTime, // 时间戳，单位秒，如：1580000000
      ExpiredTime: data.expiredTime, // 时间戳，单位秒，如：1580000000
});

这里面tmpSecretId、tmpSecretKey等等所有的字段都是小写开头的，但是Go SDK中定义却是大写开头的，更坑的是，sessionToken这个字段在Go里面直接变成了Token。所以前文提供的javascript代码都修复了这些问题。

另外，文档中建议按照最小权限原则进行授权，但是COS API 授权策略使用指引居然没有列出所有的权限，搞得我干脆给了所有权限。