API签名加密主要防请求重放、篡改和身份冒用，通过校验timestamp、nonce、app_key及HMAC-SHA256/MD5签名实现；参数须字典序排列、URL编码、严格按文档拼接，secret不传输，时间偏差超阈值（如300秒）即拒签。
API签名加密请求到底在防什么
签名机制不是为了“拦住所有爬虫”，而是防止请求被重放、篡改或冒用身份。服务端通常会校验 timestamp（时间戳）、nonce（随机数）、app_key 和按规则拼接后 HMAC-SHA256 或 MD5 签名的字符串。一旦参数顺序错、编码不一致、时间偏差超阈值（比如 > 300 秒），就直接返回 401 Unauthorized 或 {"code":4001,"msg":"invalid signature"}。
- 签名原文必须严格按文档要求排序（常见是字典序 or 固定字段顺序），不能靠 Python
dict默认顺序 - 所有参数值需先
url_encode（空格变%20，非ASCII转UTF-8再编码），再拼接 -
secret永远不随请求发出，只用于本地计算签名；泄露即等于账号失控
requests 发送带签名的 GET/POST 请求怎么写
核心是把签名逻辑封装成可复用的函数，避免每次手动拼。以某电商开放平台为例（GET /api/items?app_key=xxx×tamp=1715823400&v=2.0）：
import time
import hashlib
import hmac
import urllib.parse
import requests
<p>def build_signature(params, app_secret):</p><h1>1. 排序 + url_encode + 拼接 key=value&...</h1><pre class='brush:python;toolbar:false;'>sorted_kv = "&".join([
f"{k}={urllib.parse.quote(str(v), safe='')}"
for k, v in sorted(params.items())
])
# 2. HMAC-SHA256(app_secret, sorted_kv), 输出十六进制小写
sig = hmac.new(
app_secret.encode(),
sorted_kv.encode(),
hashlib.sha256
).hexdigest()
return sig构造请求参数
params = { "app_key": "your_app_key", "timestamp": int(time.time()), "v": "2.0", "format": "json" } params["sign"] = build_signature(params, "your_app_secret")
发送请求（GET）
resp = requests.get("https://www.php.cn/link/721a427b22b69757b37c150e2fe24caa", params=params)
立即学习“Python免费学习笔记（深入）”；
- 如果是
POST application/json，签名原文仍只含 URL 查询参数（不含 body），但sign一般放 query 或 header（看文档）；body 单独序列化传 - 切勿把
sign放进签名原文里——这是循环引用，必然失败 -
urllib.parse.quote(..., safe='')确保斜杠、冒号等也被编码，很多坑出在这里
遇到 signature invalid 错误的排查顺序
这类错误 90% 不是算法写错，而是细节不一致：
- 检查服务端要求的签名算法是
HMAC-SHA256还是MD5，是否要大写 hex（.upper()） - 看响应 headers 中是否有
X-Server-Time，对比本地time.time()偏差；超过 5 分钟大概率拒签 - 抓包对比你发的 query string 和签名原文是否完全一致（推荐用
print(sorted_kv)跟服务端日志对） - 某些平台要求
app_secret前后加固定字符串（如"&" + secret + "&"），文档常藏在“安全规范”附录里 - Windows 用户注意：文本编辑器可能存为
GBK，导致app_secret字符串读取乱码，务必用utf-8打开配置文件
签名逻辑要不要放进 Session 或自定义 Adapter
短期脚本直接写函数就行；但中长期维护建议抽成 Auth 类或 requests 的 AuthBase 子类：
class APIAuth(requests.auth.AuthBase):
def __init__(self, app_key, app_secret):
self.app_key = app_key
self.app_secret = app_secret
<pre class='brush:python;toolbar:false;'>def __call__(self, req):
# 自动注入 timestamp/sign 到 query 或 header
parsed = urllib.parse.urlparse(req.url)
query_dict = dict(urllib.parse.parse_qsl(parsed.query))
query_dict.update({
"app_key": self.app_key,
"timestamp": int(time.time())
})
query_dict["sign"] = build_signature(query_dict, self.app_secret)
new_url = parsed._replace(query=urllib.parse.urlencode(query_dict)).geturl()
req.url = new_url
return req使用
session = requests.Session() session.auth = APIAuth("key", "secret") resp = session.get("https://www.php.cn/link/721a427b22b69757b37c150e2fe24caa")
- 这样能复用连接池、自动处理重定向，也方便后续加 token 刷新逻辑
- 但注意：如果 API 要求 sign 放 header（如
X-Signature），就得改写<strong>call</strong>里操作req.headers，不能只动 URL
签名本身不难，难的是和对方系统“对齐”每一个字符、每一毫秒、每一种编码。文档没写的默认行为，往往得靠抓包反推，或者直接问对接人——别硬猜。
