#mldong/moon-obs

moon add mldong/moon-obs

#scheme 有两种写法

#自定义域名（已绑定到某一个桶）那一档

• 构造走 Config::with_domain(domain, region, credentials)，domain 带不带 scheme 都收 （http://cdn.example.com、https://cdn.example.com、cdn.example.com 三种写法都合法）， 前缀缺省时按 https 派生；region 照旧必填（它进的是签名 scope，与寻址档位无关）。 想不靠前缀就显式给 scheme~（Config::with_domain("cdn.example.com", region, creds, scheme="http")）， 但这一档同样遵守"前缀与 scheme~ 只能表达一个意思"那条（见上一节）。
• 请求里的桶名不参与寻址（传真实桶名或空串都一样），URL 与预签名串的形状就是 <scheme>://<域名>/<key>。
• 「域名不许再拼桶名」是实测结论，不是推测：<桶名>.<域名> 这种主机名连 DNS 都不解析 （域名本身已经绑到桶），把虚主机那一套搬过来只会当场建连失败。
• http 在真桶上是通的（put / stat / 读回 / presign / delete 全过，删后 404）；同桶复制在 这一档也量过（copy_object 的 x-amz-copy-source 仍是 /<桶名>/<键> 那一形，服务端认， 副本读回逐字节一致）；https 要先在桶侧绑定证书， 否则卡在 TLS 握手而不是卡在签名——那种红不是这个客户端的问题，别拿它当寻址证据。
• 判档用 Config::is_domain_style()；坏输入的纪律与 Config::new 同一份： // 之后 authority 为空（http://）、或主机后还带路径尾巴（https://x.com/sneaky， 尾巴里很可能藏着桶名）一律 BadParam 响亮拒，不静默剥。

#最小用法

/// `sign_v4` 会 raise（时间戳形状、空密钥这两类本地就能判死的输入），文档块里把它兜住：
/// 这一块演示的是"本地算得出"的那一半，兜住不等于演示失败路径。
fn sign(
  access_key : String,
  secret_key : String,
  region : String,
  timestamp : String,
  req : @obsauth.RequestToSign,
) -> @obsauth.Signature {
  try {
    @obsauth.sign_v4(access_key, secret_key, region, timestamp, req)
  } catch {
    err => abort("最小用法只演示本地可算的一档，签名件不该在这里红：" + err.text())
  }
}

test "寻址、编码与签名串全在本地算得出，抄这一块不打网络" {
  // 基址按区域派生；虚主机那一档由桶名打头，Config::host_of 是唯一出口
  assert_eq(
    @obsconfig.native_endpoint_host("cn-north-4"),
    "obs.cn-north-4.myhuaweicloud.com",
  )
  // 对象键编码：斜杠保留、空格 %20、加号 %2B——签名侧与请求行用同一条规则
  assert_eq(
    @obsauth.uri_encode("articles/03 state+machine.png", keep_slash=true),
    "articles/03%20state%2Bmachine.png",
  )
  // 查询串：键、值各自编码，再按编码后的串整体排序，空值写 `acl=`（等号不能省）
  assert_eq(
    @obsauth.canonical_query_string([("prefix", "a b"), ("acl", "")]),
    "acl=&prefix=a%20b",
  )
  // 头值归一（首尾去掉、中间连续空白压成一个空格）＋头名字典序分号拼
  assert_eq(@obsauth.normalize_header_value("  padded   value  "), "padded value")
  assert_eq(@obsauth.signed_header_list(["x-amz-date", "host"]), "host;x-amz-date")
  // scope 的服务名写死 `s3`，算法串与 AWS 逐字相同——这两格错了不会报错，只会一直 403
  assert_eq(
    @obsauth.scope_of("20261016", "cn-north-4"),
    "20261016/cn-north-4/s3/aws4_request",
  )
  assert_eq(@obsauth.algorithm, "AWS4-HMAC-SHA256")
  assert_eq(@obsauth.unsigned_payload, "UNSIGNED-PAYLOAD")
  // 头名前缀：原生端点上 V4 这一族只认 x-amz-*，所以默认档就是 Amz
  assert_eq(@obsauth.HeaderPrefix::Amz.date_header(), "x-amz-date")
  // 用 AWS 官方 SigV4 测试凭据签一发（公开测试值，不是任何真密钥）。
  // Authorization 的拼法是"逗号后不带空格"——AWS SDK 发的是带空格那一形，两家服务端都收，
  // 但这里钉的是 OBS 官方 SDK 那串逐字形状。
  let signed = sign(
    "AKIDEXAMPLE",
    "wJalrXUtnFEMI/K7MDENG+bPxRfiCYEXAMPLEKEY",
    "us-east-1",
    "20261016T010203Z",
    @obsauth.RequestToSign::new(
      "GET",
      "/examplebucket/plain.txt",
      headers=[
        ("host", "examplebucket.obs.us-east-1.myhuaweicloud.com"),
        ("x-amz-content-sha256", @obsauth.unsigned_payload),
        ("x-amz-date", "20261016T010203Z"),
      ],
      payload_hash=@obsauth.unsigned_payload,
    ),
  )
  assert_eq(signed.signed_headers, "host;x-amz-content-sha256;x-amz-date")
  let want_head = "AWS4-HMAC-SHA256 Credential=AKIDEXAMPLE/20261016/us-east-1/s3/aws4_request,SignedHeaders=host;x-amz-content-sha256;x-amz-date,Signature="
  assert_true(signed.authorization.has_prefix(want_head))
  // 密钥本体不许出现在签出来的任何一段里
  assert_eq(signed.string_to_sign.find("wJalrXUtnFEMI/K7MDENG+bPxRfiCYEXAMPLEKEY"), None)
}

#传输层死亡的重发纪律（行为，不是内部实现细节）

[moon-obs] resending exactly once: GET /<bucket>/<key> -- response headers had not arrived (...); the resend is safe because ...
[moon-obs] NOT resending: POST /<bucket>/<key> -- POST ?uploads mints a new uploadId, ...

平台能力读数（原生面收不收 list-type=2、分片最小段尺寸、ACL 取值面与 grant 拼法、 预签名免凭据可否取回等）都由仓内的真桶实测档裁决，判据与打印口径见 obs/live_test.mbt 与 obs/retry_live_test.mbt；本文件不抄那些数字。

#开发进度