Security
API 认证
所有私有接口都必须由 A 服务器调用。API Secret 不得出现在浏览器、前端 JavaScript、客户端日志或公开仓库中。
请求 Header
X-Site-Id: YOUR_SITE_ID
X-Timestamp: 1787150000
X-Nonce: f640886a1ad24cb1
X-Signature: <64 lowercase hex chars>| Header | 说明 |
|---|---|
X-Site-Id | 接入站点标识 |
X-Timestamp | Unix 秒级时间戳，允许误差 ±5 分钟 |
X-Nonce | 8–128 位随机字符串，每次请求唯一 |
X-Signature | 64 位小写十六进制 HMAC-SHA256 |
签名算法
timestamp + "\n" + nonce + "\n" + raw_bodysignature = hex(HMAC-SHA256(API_SECRET, canonical))
POST 请求必须对实际发送的原始 JSON 字符串签名。签名之后不要重新格式化 JSON。GET 请求的
raw_body 为空字符串。防重放
相同 Site ID + Nonce 只能成功使用一次；重复使用会返回 409 replay_detected。