接口验签说明

财云通平台数据接入接口采用 HMAC-SHA1 + MD5 双重摘要进行请求验签。本文档基于示例工程 SendDemoSubmit.java 与 SignatureSecurity.java 整理。

一、验签参数

所有需验签的接口，在 URL query 中统一携带以下公共参数：

参数	说明	必填	示例
AccessKeyID	用户名称（平台分配的账号）	是	`zhjt`
TimeStamp	时间戳，格式 `yyyy-MM-dd'T'HH:mm:ss'Z'`（UTC）	是	`2021-01-06T18:07:12Z`
SignatureNonce	随机数（32 位 UUID，去掉 `-`）	是	`3012eaa4e0244059ba605636699f73df`
Version	版本号，固定 `1.0`	是	`1.0`
Signature	签名串（HMAC-SHA1 + MD5）	是	`...`（32 位大写）

业务参数（如 FileNo）随请求一起传，但不参与签名。

二、签名算法

Signature = MD5( HMAC-SHA1( signatureData, secretKey ) )

其中：

secretKey（密钥） = 用户密码的 MD5 大写 32 位

signatureData（签名数据串） = 按参数名字典序拼接（不含 Signature）：

AccessKeyID={AccessKeyID}&SignatureNonce={SignatureNonce}&TimeStamp={TimeStamp}&Version={Version}

HMAC 结果再经 MD5 摘要，输出 32 位大写十六进制 字符串。

计算步骤

计算密钥：secretKey = MD5(password).toUpperCase()（32 位大写）

拼签名数据串（字典序：AccessKeyID < SignatureNonce < TimeStamp < Version）：

AccessKeyID=zhjt&SignatureNonce=3012eaa4e0244059ba605636699f73df&TimeStamp=2021-01-06T18:07:12Z&Version=1.0

rawHmac = HMAC-SHA1(signatureData.getBytes("UTF-8"), secretKey.getBytes("UTF-8"))

Signature = MD5(rawHmac)，大写 32 位

将 Signature 拼回 URL query，与其余参数一起发起请求。

三、Java 实现示例

3.1 生成签名 URL

3.2 时间戳

3.3 随机数

3.4 签名数据串

3.5 核心签名（HMAC-SHA1 + MD5）

3.6 完整调用示例

四、注意事项

密钥是密码的 MD5 大写 32 位，不是密码明文。代码中 passWord 参数即为该 MD5 值。

时间戳为 UTC，格式含字面量 T 和 Z（yyyy-MM-dd'T'HH:mm:ss'Z'）。

随机数每次请求必须不同，用于防重放攻击。

Signature 本身不参与签名，仅 4 个公共参数（AccessKeyID、SignatureNonce、TimeStamp、Version）参与。

签名输出为大写十六进制，长度 32 位。

每个请求独立验签 — 即使同一接口连续调用，也要重新生成时间戳、随机数、签名。

一、验签参数#

二、签名算法#

计算步骤#

三、Java 实现示例#

3.1 生成签名 URL#

3.2 时间戳#

3.3 随机数#

3.4 签名数据串#

3.5 核心签名（HMAC-SHA1 + MD5）#

3.6 完整调用示例#

四、注意事项#