api 签名的相关问题

[cjyang1128]

api 肯定要做签名，然后看了一下一般都是对 post 参数或者 get 参数做签名，但是如果是用 json 格式传的话，一般是怎么做签名的呢。。？是不是只能让整个 json body 参与签名了

[wesley]

强制要求每次请求时 header 中必须包含一个时间
签名方法: sign(header 中的时间, body, key 或者 token )

这样做是为了防止 body 为空时, 签名算法被破解

[haozibi]

baidu 有个 api 把认证加载在 header 中，具体怎么弄的不清楚

[cjyang1128]

@wesley 谢谢

[skydiver]

可以参考 https://docs.aws.amazon.com/AmazonS3/latest/dev/RESTAuthentication.html

[julyclyde]

https://github.com/julyclyde/sentry-IM/blob/master/sentry_IM/requests_APISign.py

[cjyang1128]

@julyclyde 额。。。？

[cjyang1128]

@skydiver 谢谢

[garrydzeng]

拿要保护的数据签
我习惯用某些请求头+消息体签名
毕竟 HMAC 防篡改
还有就是用 timestamp + nonce 防重放

[julyclyde]

@cjyang1128 requests 的自定义 auth 模块