Kratos防重放签名总对不上，主因是Body被前置中间件提前读取未重置、签名原文构造不一致（如query未归一化、换行符缺失）、时间戳校验时机错误（应在签名比对前严格校验且统一返回401）。
Kratos 框架本身不内置防重放逻辑，必须手动在 middleware 或 interceptor 中实现；防刷机制失效的主因不是算法选错，而是签名原文构造不一致、时间戳校验时机错误、body 读取后未重置这三处。
为什么 Kratos 的 gin 风格中间件里签名总对不上
Kratos 默认使用 gRPC 和 HTTP 双协议栈，但 HTTP 路由底层仍基于 gin。很多同学直接套用 Gin 的中间件写法，却忽略了 Kratos 的 http.Server 初始化方式导致 c.Request.Body 在中间件中已被提前读取（比如被 binding 或日志中间件消耗），造成 io.ReadAll(c.Request.Body) 返回空字节。
- 必须在所有可能读取 Body 的中间件之前注册防重放中间件（顺序很重要）
- 用
c.Request.Body = io.NopCloser(bytes.NewBuffer(bodyBytes))重置 Body，否则后续 handler 解析 JSON 会失败 - 若接口同时支持
GET和POST，GET的 query string 必须归一化（key 字典序升序拼接，无空格、无编码差异）后参与签名，不能只拼 body
X-Timestamp 校验必须在签名比对前完成
时间戳不是“顺便检查一下”，而是签名验证流程的第一道闸口。Kratos 项目里常见错误是：先做完整签名比对，失败后再查时间戳是否过期——这会导致攻击者通过高频试探快速判断密钥是否正确（401 vs 422 状态码泄露信息）。
-
X-Timestamp必须是 Unix 秒级整数（不是毫秒），服务端用time.Now().Unix()比对，窗口建议 ±180 秒（兼顾客户端时钟偏差） - 校验失败统一返回
401 Unauthorized，不区分“超时”和“签名错” - 若用
time.Parse解析字符串时间戳，必须指定time.RFC3339或自定义 layout，避免因格式不匹配直接 panic
防刷机制里最容易被绕过的三个点
很多团队加了签名和时间戳，压测时仍大量出现 401，问题往往不出在 Kratos 框架，而在客户端或网关层细节失控。
- HTTP 方法名必须全大写且严格匹配（
POST≠post），Kratos 的c.Request.Method是原始值，不会自动转大写 - 签名原文拼接必须用换行符分隔：
timestamp + "\n" + method + "\n" + path + "\n" + query + "\n" + bodyHash，不用+直接连，防止1717023456{"a":1}和171702345{"6":{"a":1}}冲突 - 密钥绝不能从
config.yaml明文加载，Kratos 的conf.Load会把配置打到日志，应改用os.Getenv("API_SECRET_KEY")或 Kratos 提供的envvar加载器
真正难的是两端签名原文构造的完全一致——哪怕客户端多一个空格、少一个换行、JSON 字段顺序不同、query 参数没排序，签名就必然失败。上线前务必用固定测试用例跑通两端输出的原始字符串，而不是只比对最终 signature 值。
