api签名加密主要防请求重放、篡改和身份冒用，通过校验timestamp、nonce、app_key及hmac-sha256/md5签名实现；参数须字典序排列、url编码、严格按文档拼接，secret不传输，时间偏差超阈值（如300秒）即拒签。

python爬虫如何通过api抓取数据_利用python发送签名加密请求

API签名加密请求到底在防什么

签名机制不是为了“拦住所有爬虫”，而是防止请求被重放、篡改或冒用身份。服务端通常会校验 timestamp（时间戳）、nonce（随机数）、app_key 和按规则拼接后 HMAC-SHA256 或 MD5 签名的字符串。一旦参数顺序错、编码不一致、时间偏差超阈值（比如 > 300 秒），就直接返回 401 Unauthorized 或 {"code":4001,"msg":"invalid signature"}。

签名原文必须严格按文档要求排序（常见是字典序 or 固定字段顺序），不能靠 Python dict 默认顺序
所有参数值需先 url_encode（空格变 %20，非ASCII转UTF-8再编码），再拼接
secret 永远不随请求发出，只用于本地计算签名；泄露即等于账号失控

requests 发送带签名的 GET/POST 请求怎么写

核心是把签名逻辑封装成可复用的函数，避免每次手动拼。以某电商开放平台为例（GET /api/items?app_key=xxx&timestamp=1715823400&v=2.0）：

import time
import hashlib
import hmac
import urllib.parse
import requests
<p>def build_signature(params, app_secret):</p><h1>1. 排序 + url_encode + 拼接 key=value&...</h1><pre class="brush:python;toolbar:false;">sorted_kv = "&".join([
    f"{k}={urllib.parse.quote(str(v), safe='')}"
    for k, v in sorted(params.items())
])
# 2. HMAC-SHA256(app_secret, sorted_kv), 输出十六进制小写
sig = hmac.new(
    app_secret.encode(),
    sorted_kv.encode(),
    hashlib.sha256
).hexdigest()
return sig

构造请求参数

params = { "app_key": "your_app_key", "timestamp": int(time.time()), "v": "2.0", "format": "json" } params["sign"] = build_signature(params, "your_app_secret")

发送请求（GET）

resp = requests.get("https://www.php.cn/link/721a427b22b69757b37c150e2fe24caa", params=params)

Forge — Python Developer

Python开发助手 — 自动化脚本、API封装、命令行工具、数据管道、网页爬虫。经过测试的代码，包含错误处理和文档。当你需要...

下载

如果是 POST application/json，签名原文仍只含 URL 查询参数（不含 body），但 sign 一般放 query 或 header（看文档）；body 单独序列化传
切勿把 sign 放进签名原文里——这是循环引用，必然失败
urllib.parse.quote(..., safe='') 确保斜杠、冒号等也被编码，很多坑出在这里

遇到 signature invalid 错误的排查顺序

这类错误 90% 不是算法写错，而是细节不一致：

检查服务端要求的签名算法是 HMAC-SHA256 还是 MD5，是否要大写 hex（.upper()）
看响应 headers 中是否有 X-Server-Time，对比本地 time.time() 偏差；超过 5 分钟大概率拒签
抓包对比你发的 query string 和签名原文是否完全一致（推荐用 print(sorted_kv) 跟服务端日志对）
某些平台要求 app_secret 前后加固定字符串（如 "&" + secret + "&"），文档常藏在“安全规范”附录里
Windows 用户注意：文本编辑器可能存为 GBK，导致 app_secret 字符串读取乱码，务必用 utf-8 打开配置文件

签名逻辑要不要放进 Session 或自定义 Adapter

短期脚本直接写函数就行；但中长期维护建议抽成 Auth 类或 requests 的 AuthBase 子类：

class APIAuth(requests.auth.AuthBase):
    def __init__(self, app_key, app_secret):
        self.app_key = app_key
        self.app_secret = app_secret
<pre class="brush:python;toolbar:false;">def __call__(self, req):
    # 自动注入 timestamp/sign 到 query 或 header
    parsed = urllib.parse.urlparse(req.url)
    query_dict = dict(urllib.parse.parse_qsl(parsed.query))
    query_dict.update({
        "app_key": self.app_key,
        "timestamp": int(time.time())
    })
    query_dict["sign"] = build_signature(query_dict, self.app_secret)
    new_url = parsed._replace(query=urllib.parse.urlencode(query_dict)).geturl()
    req.url = new_url
    return req