接入你的 App

请求签名

#什么时候需要

没有自己后端的 App 只能把 key 放在 App 里，抓包就能看到。给这个 key 开启请求签名（控制台 → API 密钥 → 编辑 → 请求签名）后，每个请求还必须带一个用单独签名密钥算出的签名：只拿到 sk- key 没用，抓到的请求也不能重放。

#三个请求头

Authorization 照常发送，再加三个请求头。签名内容是时间戳、nonce、HTTP 方法、路径（不含查询参数）用换行连起来；HMAC 的密钥就是控制台里显示的 sig_… 字符串，原样使用。

headers

X-Timestamp: 1759312345        # unix seconds, within 5 minutes of server time
X-Nonce:     9f2c4e7a1b3d5f60  # 16-128 chars of A-Z a-z 0-9 - _, new for every request
X-Signature: hex(HMAC-SHA256(secret, "1759312345\n9f2c4e7a1b3d5f60\nPOST\n/v1/images/tasks"))

#给请求签名

sign.dart

import 'dart:convert';
import 'dart:math';
import 'package:crypto/crypto.dart';

const apiKey = 'sk-YOUR_KEY';
const signingSecret = 'sig_YOUR_SIGNING_SECRET';
int clockOffset = 0; // server time - device time, from X-Server-Timestamp

Map<String, String> signedHeaders(String method, String path) {
  final ts = (DateTime.now().millisecondsSinceEpoch ~/ 1000 + clockOffset).toString();
  final random = Random.secure();
  final nonce = List.generate(16, (_) => random.nextInt(256).toRadixString(16).padLeft(2, '0')).join();
  final signature = Hmac(sha256, utf8.encode(signingSecret))
      .convert(utf8.encode('$ts\n$nonce\n$method\n$path'))
      .toString();
  return {
    'Authorization': 'Bearer $apiKey',
    'X-Timestamp': ts,
    'X-Nonce': nonce,
    'X-Signature': signature,
  };
}

// headers: signedHeaders('POST', '/v1/images/tasks')
// GET /v1/images/tasks/{id} is signed with its own path, e.g. '/v1/images/tasks/task_123'

sign.mjs

import crypto from "node:crypto";

const ts = Math.floor(Date.now() / 1000).toString();
const nonce = crypto.randomBytes(16).toString("hex");
const signature = crypto
  .createHmac("sha256", process.env.SIGNING_SECRET)
  .update(`${ts}\n${nonce}\nPOST\n/v1/images/tasks`)
  .digest("hex");

await fetch("https://www.aisplice.store/v1/images/tasks", {
  method: "POST",
  headers: {
    Authorization: "Bearer sk-YOUR_KEY",
    "Content-Type": "application/json",
    "X-Timestamp": ts,
    "X-Nonce": nonce,
    "X-Signature": signature,
  },
  body: JSON.stringify(payload),
});

#报错和规则

被拒绝的请求返回 401，error.code 为 signature_required、signature_expired、signature_invalid 或 signature_replayed。
signature_expired 同时返回 X-Server-Timestamp。手机时间不准时，记下两者差值，之后每个时间戳都加上它，并用新的 nonce 重试一次。
重试也要用新的 nonce 重新签名；用过的 nonce 会记 10 分钟。
在控制台更换密钥后，旧密钥 30 秒内失效。关闭再开启签名，密钥不变。
签名防的是抓包，防不住有人拆解 App。打包时请做混淆（Flutter：--obfuscate），并给 key 设额度上限。

还是没解决？

把请求 ID 或报错信息发给我们，我们来查。

上一页Xsolla 订阅接下来结果回调