帮助文档

4.1 版本说明

• 旧版算法：仅支持 Token + AppSecret + Timestamp 拼接，无防重放，2026-06-01 后停止支持
• 新版算法：新增 Nonce 随机串 + 全业务参数参与签名，防篡改、防重放，安全性更强，推荐优先接入
• 过渡期规则：2026-06-01 前 两种算法均可正常使用；2026-06-01起 仅支持新版算法

4.2 启用服务

进入控制台 → 接口管理 → 应用密钥 → 启用动态签名防护功能
启用后将获得 开发者密钥(AppSecret)，密钥仅限本次展示，平台不储存，请妥善保管。

4.3 新版签名算法 推荐

4.3.1 参与签名参数

• Token（应用Token，开发者中心获取）
• AppSecret（开发者密钥，开发者中心获取）
• Timestamp（当前秒级时间戳）
• Nonce（6–32位随机字符串，不可预测）
• 所有业务参数（GET/POST/JSON，排除 sign、token、timestamp、nonce）

4.3.2 签名生成步骤

1. 获取所有业务参数，剔除：sign、token、timestamp、nonce
2. 参数按 key 字典升序 排序
3. 拼接为 key=value 格式，用 & 连接，过滤空值、数组、文件
4. 拼接最终待签串：Token + AppSecret + Timestamp + Nonce + 排序后参数字符串
5. 使用 SHA256 计算哈希，得到 Sign

4.3.3 示例

请求入参为：b=2&c=test&a=1

排序后参数：a=1&b=2&c=test

待签串：Tokenabc123AppSecretxyz7891751811509Nonce5e2a8d7f1c3b90a=1&b=2&c=test

签名结果：sha256(待签串)

4.3.4 请求示例（Header 版）

GET /resource/ping/test?a=1&b=2&c=test HTTP/1.1
   Host: api.istero.com
   Authorization: Bearer kHDWCttQBVRo****
   X-Signature: a5c573b59ee353d***
   X-Timestamp: 1751810929
   X-Nonce: 5e2a8d7f1c3b90

4.4 旧版签名算法 原算法保留，2026-06-01后作废

4.4.1 参与签名参数

• Token（应用Token，开发者中心获取）
• AppSecret（开发者密钥，开发者中心获取）
• Timestamp（当前秒级时间戳）

4.4.2 签名生成步骤

1. 拼接原始串：Token + AppSecret + Timestamp
2. 使用 SHA256 计算哈希，得到 Sign

4.4.3 示例

原始串：kHDWCttQBVRojsfuLpzgbnVGumJmBkhaNxWTTtGjkBykWiuoscKrPBulPVoMZrQj1751811509

签名结果：e26c68459cee2eec821ed30491fc3c49ad68356f1438c28f3a40b76a1c8d0c30

4.4.4 请求示例

https://api.istero.com/resource/ping/test?token=kHDWCttQBVRojsfuLpzgbnVGumJmBkha&sign=e26c68459cee2eec821ed30491fc3c49ad68356f1438c28f3a40b76a1c8d0c30×tamp=1751811509

4.5 常见错误与排查

• 签名校验失败
  • 检查参数是否按 key 升序排序
  • 检查是否剔除 sign、token、timestamp、nonce
  • 检查编码统一为 UTF-8
• Nonce 错误
  • 长度必须 6–32 位
  • 不可重复使用（防重放）
• Timestamp 过期
  • 必须为秒级时间戳
  • 与服务器时间偏差不得超过 30 秒
• 2026年6月1日后提示nonce参数缺失
  • 请切换为新版算法，必须携带 X-Nonce

4.6 升级建议

• 新接入用户直接使用新版签名算法
• 存量用户请在 2026-06-01 前 完成升级
• 升级后可享受更强的防重放、防篡改安全能力