有个客户的数据接口被人写脚本扒了三个月，几十万条记录流出去。查下来接口只需要登录态就能访问。而登录态在客户端可以被抓包复用。加个签名，这件事根本不会发生。
签名解决的是身份和防篡改
签名的基本做法是：把请求参数按规则排序，拼接后加时间戳和密钥做哈希，作为签名一起发过来。返工也有价值。服务端用同样方式算一遍，不一致就拒绝。这样参数被改、请求被重放都能发现。时间戳很关键。缺了材料能补吗？
没有时间戳，攻击者抓到一个合法请求可以无限重放。加了时间戳并限定有效期（比如五分钟）。重放窗口就小了。再配合一次性nonce。基本能杜绝重放。限流不只是防刷，也是防自己被打垮。
限流保护的是服务本身
按账号限、按IP限跟按接口限，三个维度都要有。比如单账号每秒十次、单IP每分钟三百次与批量查询接口每小时二十次，具体数值按业务调。限流被触发要有明确响应：返回特定错误码，告诉调用方多久后可以重试。
直接断连或者返回空白，会让正常业务方以为是自己出错，排查起来很费劲。密钥写在客户端代码里，等于公开。移动端和网页端都躲不过反编译，所以密钥必须放在服务端，客户端只持有临时凭证。这一条很多人图省事就不做，然后被扒。
密钥管理最容易出纰漏
密钥还要能换。泄露了要能立即作废重新下发，所以设计上要支持多密钥并存和轮换。如果密钥写死在代码里、更换要发版，真出事时反应会很慢。我这儿补一句：接口安全靠两件事，签名证明"你是谁"，限流保证"别过量"。缺一个，早晚出问题。谁来拍板？
接口安全的常见疑问
接口只靠登录态够吗
不够。登录态可被抓包复用，应配合签名、时间戳和限流做多层防护。
签名密钥放在哪
必须放在服务端，客户端只持有服务端下发的临时凭证，避免被反编译获取。
限流数值怎么定
按业务实测峰值设定，并按账号、IP跟接口三个维度分别配置。
敏感数据的接口还建议加一层脱敏。手机号返回中间四位掩码、地址只给到区县，真被爬走也拿不到完整信息。这一层不改代码逻辑，投入很小，效果明显。
总结：接口安全靠签名加限流。签名管身份，限流管用量，密钥放在服务端，三件事缺一不可。