ThinkPHP如何对接华为云OBS_服务端签名直传前端【详解】-ThinkPHP-PHP中文网

华为云obs服务端签名直传唯一安全方案是post表单签名（postformcredential），thinkphp调用java sdk生成带时效和策略限制的签名参数，前端通过multipart/form-data提交，全程不暴露ak/sk。

thinkphp如何对接华为云obs_服务端签名直传前端【详解】

ThinkPHP 项目里做华为云OBS服务端签名直传，核心不是“能不能传”，而是“怎么让前端拿不到AK/SK，又能让它合法上传”。直接在前端初始化 ObsClient 并传入长期密钥是绝对禁止的——这等于把家门钥匙贴在大门上。

为什么不能用 BrowserJS SDK 直连？

BrowserJS SDK 虽然封装了 putObject，但它要求前端持有 access_key_id 和 secret_access_key。而 ThinkPHP 后端若把这两个值透传给前端（哪怕加了加密），只要被反编译或抓包，密钥就彻底泄露。华为云控制台明确警告：长期 AK/SK 不得出现在客户端代码中。

真实项目中踩过的坑包括：

开发环境用测试 AK/SK 硬编码，上线后忘记替换，导致桶被恶意刷流量
用 JS 加密后再传给前端，结果被浏览器控制台一眼识破解密逻辑
误以为 CORS 配置好就能放开权限，结果攻击者绕过前端直接构造 PUT 请求写入恶意文件

必须用 POST 表单签名（Pre-Signed POST）

华为云 OBS 支持三种签名方式，但对 ThinkPHP + 前端直传组合，唯一安全、通用、兼容性好的方案是 POST 表单签名（即 PostFormCredential）。它生成的是带签名字段的 HTML 表单参数，前端只需用 FormData 提交，全程不接触 SK。

关键点：

签名有效期可控（建议设为 15–30 分钟），超时自动失效
签名内嵌 policy 字段，可限制上传路径（key）、文件大小（content-length-range）、MIME 类型（Content-Type）
小程序、WebView、PC 浏览器全部支持，没有兼容性问题

ThinkPHP 中调用 Java SDK 的 createPostSignature 方法即可生成，无需自己拼 policy 字符串或算 HMAC-SHA256 —— 自己实现极易出错，比如时间戳格式不对、base64 编码未去换行、policy JSON 键名大小写错误等，都会导致返回 403 SignatureDoesNotMatch。

ThinkPHP 控制器如何生成并返回签名参数

使用官方 esdk-obs-java SDK（推荐 3.25.10+），在 ThinkPHP 的控制器方法中调用：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

public function getPresignedForPostUrl($fileName)
{
    // 从配置读取
    $endpoint = config('huawei.obs.endpoint');
    $bucket   = config('huawei.obs.bucket_name');
    $ak       = config('huawei.obs.access_key_id');
    $sk       = config('huawei.obs.secret_access_key');
<pre class="brush:php;toolbar:false;">$obsClient = new ObsClient([
    'ak' => $ak,
    'sk' => $sk,
    'endpoint' => $endpoint
]);

// 构造 policy：限定上传到 uploads/ 目录，最大 100MB，仅允许图片
$policy = json_encode([
    ['bucket' => $bucket],
    ['key' => "uploads/{$fileName}"],
    ['acl' => 'private'],
    ['success_action_status' => '201'],
    ['content-length-range' => [0, 100 * 1024 * 1024]],
    ['Content-Type' => 'image/*']
]);

$credentials = $obsClient->createPostSignature([
    'bucket' => $bucket,
    'expires' => 1800, // 单位秒
    'policy' => base64_encode(str_replace(["\n", "\r"], '', $policy))
]);

return json([
    'url' => "https://{$bucket}.{$endpoint}",
    'fields' => [
        'key' => "uploads/{$fileName}",
        'acl' => 'private',
        'success_action_status' => '201',
        'policy' => $credentials['policy'],
        'OSSAccessKeyId' => $credentials['accessKeyId'],
        'signature' => $credentials['signature'],
    ]
]);

}

注意几个易错细节：

key 字段必须和 policy 里的 key 完全一致，否则 403
policy base64 编码前必须去除所有空白字符（str_replace 那一行不能省）
返回的 url 是表单提交地址，不是文件访问地址；上传成功后 OBS 返回 XML，需解析其中的 <location></location> 获取真实 URL