标签：API鉴权
共记录 32 篇研究
-
API Key 能防请求被篡改吗？别把门禁卡当防盗门
API Key 能防请求被篡改吗？别把门禁卡当防盗门 API Key 仅用于识别调用方身份，无法验证请求内容是否被篡改，二者在安全机制上存在本质区别。 API Key 能防请求被篡改吗？核心结论先说清 API Key 本身无法防止请求被篡改，它只是服务端识别调用方身份的单一凭证，不能保障数据完整性。 很多人拿到一串密钥就以为数据固若金汤，其实这层保护只回答了“你是谁”，没回答“你改没改”。直接给…
-
Webhook 回调收到重复通知？别慌，用事件 ID 做本地幂等就能防重扣款
Webhook 回调收到重复通知？别慌，用事件 ID 做本地幂等就能防重扣款 Webhook 回调重复通知源于发送方遵循的“至少一次”投递机制，解决之道在于接收端通过事件 ID 实现本地幂等，确保同一业务仅处理一次。 为什么 Webhook 回调收到重复通知是必然的？ 由于网络边界无法确认接收状态，Webhook 发送方采用“至少一次”原则而非“恰好一次”，导致超时或崩溃时必然触发重试并产生重复…
-
HMAC 还是 OAuth2？别按技术新旧选，看信任边界：要防篡改用 HMAC，要授权委托用 OAuth2
HMAC 还是 OAuth2？别按技术新旧选，看信任边界：要防篡改用 HMAC，要授权委托用 OAuth2 选择 HMAC 还是 OAuth2 取决于信任边界：需确认具体请求的密码学责任时用 HMAC，需让第三方代表用户获得委托访问权时选 OAuth2。 先分清概念：为什么不能把 API Key、HMAC 和 OAuth2 看作进化阶梯 API Key、HMAC 与 OAuth2 并非线性升级关…
-
HMAC 防重放攻击：为什么签名对了请求还是被拒？看 Bluefin 的 15 分钟生死线
HMAC 防重放攻击：为什么签名对了请求还是被拒？看 Bluefin 的 15 分钟生死线 HMAC 防重放攻击的时间窗口规则通过 Unix 时间戳验证时效性，配合随机数 Nonce 确保请求唯一性，两者协同拦截过期或重复的恶意重发数据。 为什么 HMAC 需要时间窗口？核心机制拆解 HMAC 仅能验证身份与完整性，必须引入时间窗口机制来限制请求的有效时长，从而阻断黑客截获合法签名后无限次重放的…
-
API Key 只能识别身份，防篡改还得靠 HMAC：别再搞混了
API Key 只能识别身份，防篡改还得靠 HMAC：别再搞混了 API Key 仅用于识别调用方身份，无法防止数据篡改；HMAC 通过共享密钥计算签名，能同时验证身份并确保请求内容在传输中未被修改。 为什么很多人搞不清 API Key 和 HMAC 签名区别在哪 两者并非简单的技术升级替代关系，而是解决不同安全问题的独立工具，误将 HMAC 视为 API Key 的安全补丁会导致配置漏洞。 很…
-
GLI 认证不等于接口统一：为什么安全过了，对接还得自己造
GLI 认证不等于接口统一：为什么安全过了，对接还得自己造 GLI-GSF 框架专注于信息安全控制与审计，并不直接定义游戏 API 接口规范或统一下注协议，因此不能自动实现供应商接口标准化。 GLI 标准管安全不管接口吗？揭开行业最大误区 通过 GLI 认证仅代表系统通过了安全审计，该框架核心任务并非定义游戏 API 或统一下注协议，不同供应商接口仍存在显著技术差异。 “只要通过 GLI 认证，…
-
统一钱包 vs 独立钱包：多游戏切换时，流畅体验与资金隔离的取舍
统一钱包 vs 独立钱包：多游戏切换时，流畅体验与资金隔离的取舍 统一钱包与独立钱包的本质区别在于是否将不同产品的资金状态进行物理隔离，这直接决定了平台在操作灵活性与安全边界之间的核心取舍。 同一个玩家，在一家平台玩老虎机时赢了钱，转头去棋牌室下注，这笔钱到底是在同一个账户里流动，还是得先“搬家”？这取决于底层架构是统一钱包还是独立钱包。两者的本质差异，在于是否将不同产品的资金状态进行物理隔离。…
-
API Key、HMAC 与 OAuth2 本质差异：别把鉴权当升级，按场景组合才安全
API Key、HMAC 与 OAuth2 本质差异：别把鉴权当升级，按场景组合才安全 API 鉴权与身份验证流程通过 HMAC 签名生成工具与 OAuth2 等机制，区分操作者身份确认与权限委托边界，解决系统接入时的基础安全问题。 先分清身份认证与授权委托：API Key、HMAC 与 OAuth2 的本质差异 API Key、HMAC 与 OAuth2 并非单纯的技术迭代，而是分别解决持有凭…