使用 HTTP 访问 API

た入场券 2022-06-09 05:48 235阅读 0赞

# 获取密钥 #

开发者在完成每次 HTTP API 调用前，API 发起的 URL 中需要带上sign参数。sign 参数是秘钥 access\_key 和 secret 及参数串的签名。开发者可以向管理员申请 API 密钥，包括访问凭证 ( access\_key ) 和 私钥 ( secret )。

<table style=""> 
 <thead style=""> 
  <tr style=""> 
   <th style="">项</th> 
   <th style="">说明</th> 
  </tr> 
 </thead> 
 <tbody style=""> 
  <tr style=""> 
   <td style="">access_key</td> 
   <td style="">访问凭证。每次 url 请求时必须附带该参数</td> 
  </tr> 
  <tr style=""> 
   <td style="">secret</td> 
   <td style="">私钥。用于计算 sign 哈希签名，开发者应妥善保管，不可泄漏</td> 
  </tr> 
 </tbody> 
</table>

# 签名 URL 请求 #

建议使用 HTTPS 协议传输 URL 请求。SSL 可以加密传输，从而保护请求或响应，避免数据在传输过程中被查看、篡改。

# 为什么要签名请求？ #

1、验证请求者的身份。确保该请求是来自 Blogchina 授权的开发者程序

2、保护传输中的数据。为了防止URL在传输时参数值被恶意篡改、注入，API URL请求的参数被要求进行哈希（摘要）计算，得到的哈希值被包括在请求中的sign参数。服务问收到请求时，将基于相同签名方法重新计算哈希，并将其与请求中包括的哈希值进行匹配。如果哈希值不匹配，服务器将返回 401（未授权被拒绝）错误码。

3、防止潜在的 URL 重放攻击。被签名的URL被要求必须在5分钟内到达 Blogchina 的服务器，逾期将返回 403（请求超时被拒绝）错误码。

# 如何签名？ #

签名的机制是由开发者在 API 客户端计算出系列参数组合的哈希值，将产生的信息添加到 URL 请求的 sign 参数。

例如 API 请求参数如下:

{
        "access_key":"7576762362",
        "timestamp":"1439279383630",
        "screen_name":"entere",
        "format":"json"
    }

1、按参数名进行升序排列

access\_key, timestamp, screen\_name, format 其中不包括空值参数

排序后的参数为:

{
        "access_key":"7576762362",
        "format":"json",
        "screen_name":"entere",
        "timestamp":"1438279283630",
    
    }

2、构造签名串

以secret字符串开头，追加排序后参数名称和值，格式：

secretkey1value1key2value2...