API 签名与请求重放防护（2025）

API 签名与请求重放防护（2025）请求重放与篡改是常见攻击面。本文从签名机制与网关治理给出工程实践。一、签名与参数HMAC 签名：以密钥对规范化请求串进行 HMAC 计算。时间戳与 nonce：限定有效期并保证唯一性，防止重放。二、校验与容错网关校验：统一签名、时间窗口与 nonce 去重校验。容错：对时钟偏差设置容忍度与重试策略。三、密钥与轮换密钥管理：最小权限与定期轮换；废弃密钥及时下线。观测：记录签名失败与重放命中，辅助策略优化。注意事项关键词、分类与描述与正文一致；机制与策略为通用与可验证实践。与 OAuth2/OIDC 与网关/WAF 协同，构建多层防护。