当前位置：首页 > 文章列表 > 文章 > python教程 > Python爬虫API数据抓取与签名加密方法

Python爬虫API数据抓取与签名加密方法

2026-04-14 11:53:32 0浏览收藏

本文深入解析了Python爬虫如何通过API安全抓取数据，重点讲解了签名加密请求的核心原理与实战技巧：它并非为了彻底阻止爬虫，而是精准防范请求重放、参数篡改和身份冒用，依赖timestamp、nonce、app_key及HMAC-SHA256/MD5签名的严格校验；文章手把手演示了参数字典序排序、全量URL编码、secret本地计算不传输、时间偏差容错等关键细节，并提供可复用的签名函数、Session自动鉴权类及高频报错（如invalid signature）的系统化排查路径——真正难点不在算法本身，而在于与服务端在每一个字符、毫秒和编码规则上的精确对齐。

Python爬虫如何通过API抓取数据_利用Python发送签名加密请求

API签名加密请求到底在防什么

签名机制不是为了“拦住所有爬虫”，而是防止请求被重放、篡改或冒用身份。服务端通常会校验 timestamp（时间戳）、nonce（随机数）、app_key 和按规则拼接后 HMAC-SHA256 或 MD5 签名的字符串。一旦参数顺序错、编码不一致、时间偏差超阈值（比如 > 300 秒），就直接返回 401 Unauthorized 或 {"code":4001,"msg":"invalid signature"}。

签名原文必须严格按文档要求排序（常见是字典序 or 固定字段顺序），不能靠 Python dict 默认顺序
所有参数值需先 url_encode（空格变 %20，非ASCII转UTF-8再编码），再拼接
secret 永远不随请求发出，只用于本地计算签名；泄露即等于账号失控

requests 发送带签名的 GET/POST 请求怎么写

核心是把签名逻辑封装成可复用的函数，避免每次手动拼。以某电商开放平台为例（GET /api/items?app_key=xxx×tamp=1715823400&v=2.0）：

import time
import hashlib
import hmac
import urllib.parse
import requests
<p>def build_signature(params, app_secret):</p><h1>1. 排序 + url_encode + 拼接 key=value&...</h1><pre class="brush:python;toolbar:false;">sorted_kv = "&".join([
    f"{k}={urllib.parse.quote(str(v), safe='')}"
    for k, v in sorted(params.items())
])
# 2. HMAC-SHA256(app_secret, sorted_kv), 输出十六进制小写
sig = hmac.new(
    app_secret.encode(),
    sorted_kv.encode(),
    hashlib.sha256
).hexdigest()
return sig

构造请求参数

params = { "app_key": "your_app_key", "timestamp": int(time.time()), "v": "2.0", "format": "json" } params["sign"] = build_signature(params, "your_app_secret")

发送请求（GET）

resp = requests.get("https://api.example.com/api/items", params=params)

如果是 POST application/json，签名原文仍只含 URL 查询参数（不含 body），但 sign 一般放 query 或 header（看文档）；body 单独序列化传
切勿把 sign 放进签名原文里——这是循环引用，必然失败
urllib.parse.quote(..., safe='') 确保斜杠、冒号等也被编码，很多坑出在这里

遇到 signature invalid 错误的排查顺序

这类错误 90% 不是算法写错，而是细节不一致：

检查服务端要求的签名算法是 HMAC-SHA256 还是 MD5，是否要大写 hex（.upper()）
看响应 headers 中是否有 X-Server-Time，对比本地 time.time() 偏差；超过 5 分钟大概率拒签
抓包对比你发的 query string 和签名原文是否完全一致（推荐用 print(sorted_kv) 跟服务端日志对）
某些平台要求 app_secret 前后加固定字符串（如 "&" + secret + "&"），文档常藏在“安全规范”附录里
Windows 用户注意：文本编辑器可能存为 GBK，导致 app_secret 字符串读取乱码，务必用 utf-8 打开配置文件

签名逻辑要不要放进 Session 或自定义 Adapter

短期脚本直接写函数就行；但中长期维护建议抽成 Auth 类或 requests 的 AuthBase 子类：

class APIAuth(requests.auth.AuthBase):
    def __init__(self, app_key, app_secret):
        self.app_key = app_key
        self.app_secret = app_secret
<pre class="brush:python;toolbar:false;">def __call__(self, req):
    # 自动注入 timestamp/sign 到 query 或 header
    parsed = urllib.parse.urlparse(req.url)
    query_dict = dict(urllib.parse.parse_qsl(parsed.query))
    query_dict.update({
        "app_key": self.app_key,
        "timestamp": int(time.time())
    })
    query_dict["sign"] = build_signature(query_dict, self.app_secret)
    new_url = parsed._replace(query=urllib.parse.urlencode(query_dict)).geturl()
    req.url = new_url
    return req