我以为是我发的，我昨天也问了这个问题

纠结的点在于两边实现起来都麻烦，继续来学习一下

发送方请求时，在代码层面，requeset body 是由某个库为你把请求对象序列化成 json 字符串，你只要构造这个请求对象，但是涉及到签名就需要把最终 request body 拿到，digest 并设置签名请求头

接收方验证时，也是直接由框架转成请求对象，他要验签，不可以直接用这个请求对象序列化成 json 字符串，不然两边会不一致。所以要把 request body 当作字符串接收并签名，然后和签名请求头判断是否一致

@also24 感谢大佬

防重放准备这样做
1.验证签名防篡改
2.判断服务器时间是否比请求 timestamp
3.判断 nonce 是否 redis set 中

是考虑 json 的字段可以嵌套和 k-v 无序，才将整个 body hash😭

请求可以读取多次，只是很多时候 web 框架只让读取一次，可以缓存一份替代，在 java-spring 里是 ContentCachingRequestWrapper，在 go-gin 里是 ioutil.NopCloser

@also24

要的是 『尽可能安全』
HTTPS 的服务端收到请求，加上这些验证，还有什么遗漏吗？
响应时，有什么措施是必须采纳的呢？

@Xbluer 什么叫国密，一般是非对称或者 hmac sha 之类的哈，我应该没混淆加密，哈希，编码之类的概念😂

@also24

所以一个都不能少吗？😂

加解密，大概是这样他们把需要处理的内容数据用私钥加密，放在 body 某个地方，比如 xml 的一个字段，然后我用公钥解出来。我响应内容也是这样，公钥加密后发出去

@yankebupt 倒也不算是为了绕过验证，只是明明已经用了 https 并且有一些还要设置 ip 白名单才能请求，我在想哪些步骤是没必要做的

我寻思 redis 和 linux-kernel 代码写的挺漂亮的啊

你问他有没有过二面啊

@yiding 老哥，发了简历没回是简历关凉了还是怎么说

你 INSERT 的时候不经过程序吗，不需要多加一个枚举？

且慢 长赢计划

代码自己保证呗，然后不做物理删除，美其名为互联网做法

那么图片审核第三方哪家强

不难受，我觉得在职老是请假去面试难受

场外是优先卖以前的吗？如果七天以前买了 100 份，昨天再买 100 份，今天卖 50 份，卖出费率是 1.5%还是 0.5%?

@phx13ye 云闪付和信用卡 app