Nonce和Timestamp校验的本质是防重放攻击：服务端通过校验timestamp是否在允许时间窗口内（如±300秒）及nonce是否首次使用，结合签名确保请求新鲜性与合法性。
Nonce和Timestamp校验的本质是什么？
这类接口不是单纯防爬，而是防重放攻击：服务端要求每次请求携带一个一次性随机值nonce 和当前毫秒级时间戳timestamp，并用它们参与签名（比如拼接后做HMAC-SHA256），服务端会校验timestamp是否在允许窗口内（如±300秒）、nonce是否未被使用过。
常见错误现象：401 Unauthorized 或 {"code":4001,"msg":"Invalid signature"}，即使你把浏览器抓到的完整请求头、参数原样复现也失败——因为nonce已失效，或timestamp偏移超限。
-
nonce通常为16~32位随机字符串（如uuid4().hex[:16]），不能重复，也不能硬编码 -
timestamp必须是服务端认可的时钟源，本地系统时间不准会导致直接拒绝 - 签名算法必须和前端JS里一致（常藏在混淆代码中，需逆向或Hook）
如何从JS中准确提取签名逻辑？
别猜，直接定位执行签名的位置。打开浏览器开发者工具 → Network → 找到目标请求 → 右键 Copy → Copy as fetch，粘贴到控制台运行，断点触发后往上追溯调用栈。
常见埋点位置：
-
fetch或XMLHttpRequest的封装函数（如request()、api.post()） - 全局对象上的签名方法（如
window.getSignature()、SIGN()） - WebAssembly模块导出的函数（少见但存在，需用
WASM.decompile或动态调试）
如果JS做了强混淆，优先尝试：
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
- 搜索关键词：
hmac、sha256、nonce、timestamp、sign - 在
sources面板中全局搜索crypto.subtle.digest或require('crypto')（Node环境） - 用
console.trace()注入到疑似函数开头快速定位
Python端还原签名时要注意哪些坑？
签名还原不是“写对公式就行”，关键在细节对齐：
- 时间戳单位必须一致：服务端要毫秒就用
int(time.time() * 1000)，要秒就用int(time.time())；差1000倍是常见错误 - 字符串编码必须统一：所有参与签名的字段先
.encode('utf-8')，特别是中文参数，否则哈希结果不同 - 参数排序必须严格：按key字典序升序拼接（如
a=1&b=2&nonce=xxx×tamp=xxx），漏掉空值字段或顺序错一位就失败 - 密钥
secret_key可能动态生成：有些站点会用RSA公钥加密临时密钥再传给前端，此时需额外解密步骤 - 浏览器有
localStorage或cookie参与签名：比如读取localStorage.getItem('token')拼进签名串，Python端得同步维护该状态
示例片段（仅示意结构）：
import hmac, hashlib, time, json
params = {"a": 1, "b": "test", "nonce": "f8a3e7d1c9b2", "timestamp": 1717023456789}
# 按key排序拼接
sorted_kv = "&".join([f"{k}={v}" for k, v in sorted(params.items())])
message = sorted_kv.encode('utf-8')
secret = b"your_secret_from_js"
signature = hmac.new(secret, message, hashlib.sha256).hexdigest()
如何稳定获取可用的nonce和时间戳？
nonce不能靠随机生成后硬试，很多接口会记录已用nonce并拒绝重复；timestamp也不能用time.time()简单取。
- 优先从响应头或上一个接口响应体中提取：比如登录成功返回
{"nonce": "xxx", "server_time": 1717023456789}，后续请求直接复用 - 若无显式提供，可请求一个轻量接口（如
/api/time或/health）专门拿服务器时间与nonce - 更稳妥的做法是复用浏览器上下文：用
Playwright或Selenium启动真实页面，执行JS获取nonce和签名结果，再把结果传给Python后端请求（适合高防站点） - 注意并发场景：多个线程/协程共用同一
nonce必然冲突，必须保证每个请求独占一对nonce+timestamp
最易被忽略的一点：服务端校验timestamp时，用的是它自己的系统时间，不是你本地NTP同步后的时间——哪怕你校准到毫秒级，网络延迟也会导致偏差。实际做法是先打一次时间接口，计算出与服务端的偏移量（server_time - local_time），后续所有timestamp都加上这个偏移再发送。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
