HTTP消息签名：IETF HTTP Message Signatures与API安全

HTTP消息签名：IETF HTTP Message Signatures与API安全概览通过对方法、目标 URI 与关键头部进行签名，确保消息在传输过程不被篡改并可审计来源。适合对外 API 与高价值接口的防篡改与防重放场景，与 TLS 互补。技术参数（已验证）头部：`Signature-Input` 指定签名组件与参数，`Signature` 承载签名值；可为请求与响应分别签名。可签组件：`@method`、`@target-uri`、`@authority`、具体头部（如 `content-digest`、`date`、`authorization`）。含时参数：`created`、`expires` 控制窗口；结合 `nonce`/`tag` 与服务端去重表实现重放防护。算法与密钥：支持对称/非对称算法；服务端通过密钥标识与轮换策略治理密钥生命周期。与摘要协同：`Content-Digest` 提供实体摘要；签名中纳入该头保障实体完整性。实战清单明确签名覆盖的关键组件与时间窗口；在网关层统一校验与拒绝过期/重放。为高风险接口启用响应签名便于审计与端到端验证；记录失败原因与追踪指标。建立密钥轮换与版本化机制；为客户端提供测试沙箱与错误可观察性。