API请求签名：安全陷阱与最佳实践

本文深入探讨了API请求签名的安全挑战，特别是JSON对象签名中的难题。作者指出，简单的HMAC签名虽然安全，但直接在JSON对象内部签名会引发各种问题，例如JSON的多种等价表示导致签名验证失败。文章对比分析了多种签名方法，包括规范化JSON、添加冗余签名数据以及使用替代格式等，并以AWS和Flickr的签名方案为例，说明了错误实践可能带来的安全风险。最终，作者建议优先使用TLS，并尽量避免在JSON对象内部进行签名，而是采用外部签名的方式，以确保API请求的安全性。