API签名与重放防护：HMAC与时间窗

API签名与重放防护：HMAC与时间窗概览签名防护依赖稳定的规范化请求与密钥管理。时间窗与一次性 Nonce 能降低重放成功率。技术参数（已验证）规范化：按固定顺序与编码规范化请求，计算 HMAC（如 SHA-256）。新鲜度：校验时间戳与窗口（如 5 分钟）；Nonce 去重避免重复请求。审计：记录签名失败与重放尝试，辅助风控。实战清单为所有写操作启用签名与窗口校验；密钥轮换与权限分层。结合幂等键与网关限速，进一步降低风险。