1、API 簽名機(jī)制使用說(shuō)明

為了保障數(shù)據(jù)安全和防止惡意調(diào)用，互億無(wú)線的接口支持通過(guò) HMAC-SHA256 算法進(jìn)行簽名認(rèn)證。對(duì)于每一次HTTP或HTTPS協(xié)議請(qǐng)求，我們的網(wǎng)關(guān)將依據(jù)請(qǐng)求參數(shù)信息重新計(jì)算簽名，通過(guò)對(duì)比該簽名與請(qǐng)求中提供的簽名是否一致，從而驗(yàn)證請(qǐng)求者的身份，以確保傳輸數(shù)據(jù)的完整性與安全性。開(kāi)發(fā)者在調(diào)用 API 時(shí)，需按照本規(guī)范生成簽名并放入請(qǐng)求頭中。

2、什么是簽名機(jī)制？

簽名機(jī)制是對(duì)請(qǐng)求權(quán)限進(jìn)行加密的過(guò)程，目的是：

• 確認(rèn)調(diào)用者身份真實(shí)可信
• 提高系統(tǒng)的安全防護(hù)能力

3、簽名流程總覽

以下是簽名生成和使用的 5 個(gè)步驟：

• 準(zhǔn)備請(qǐng)求關(guān)鍵信息
• 拼接簽名原文
• 生成 HMAC-SHA256 簽名
• 構(gòu)建 Authorization 請(qǐng)求頭
• 發(fā)起帶簽名的請(qǐng)求

① 準(zhǔn)備請(qǐng)求關(guān)鍵信息

② 拼接簽名原文

將以下字段拼接成待簽名字符串，注意每行之間需換行：

end7348191
GET /empty-number/balance
date: Mon, 16 Jun 2025 08:24:34 GMT
host: api.ihuyi.com

注意：

• 第一行為 APPID
• 第二行為 [請(qǐng)求方法] [接口路徑]，不含 query 參數(shù)
• 時(shí)間必須是 GMT 格式，偏差超過(guò) ±300 秒會(huì)導(dǎo)致簽名失效

③ 生成簽名

使用 APPSecret 對(duì)上一步的字符串執(zhí)行 HMAC-SHA256 加密，并用 Base64 編碼：

Python 示例：

    def generateSignature(self, string_to_sign):
        "生成HMAC簽名生
        # 提取哈希算法（從hmac-sha256中提取sha256）
        hash_algorithm = self.Algorithm[5:]
        # 生成簽名
        hmac_obj = hmac.new(
            self.APIKEY.encode("utf-8"),
            string_to_sign.encode("utf-8"),
            getattr(hashlib, hash_algorithm)
        )
        return base64.b64encode(hmac_obj.digest()).decode("utf-8")

完整python及php、Java、Go、Shell示例代碼，可參考：https://gitee.com/shsurlink/api-demo/tree/master/hmac-auth

④ 構(gòu)建 Authorization 請(qǐng)求頭

將簽名結(jié)果填寫至 Authorization 字段中，格式如下：

Authorization: Signature keyId="平臺(tái)的APIID", algorithm="加密方式", headers="加密的請(qǐng)求頭字段名", signature="簽名結(jié)果"

示例：

Authorization: Signature keyId="end7348191", algorithm="hmac-sha256", headers="@request-target date host", signature="Bm0wLf0soZJMsf5INx3pfTPmylbsAVd5Z27oZmyZhuc="

⑤ 發(fā)起完整請(qǐng)求

將簽名后的請(qǐng)求頭加入 HTTP 請(qǐng)求中，完成調(diào)用。

完整HTTP 請(qǐng)求結(jié)構(gòu)：

完整請(qǐng)求示例：

POST /empty-number/balance HTTP/1.1
Host: api.ihuyi.com
Date: Mon, 16 Jun 2025 08:24:34 GMT
Content-Type: application/json
Authorization: Signature keyId="end7348191", algorithm="hmac-sha256", headers="@request-target date host", signature="Bm0wLf0soZJMsf5INx3pfTPmylbsAVd5Z27oZmyZhuc="