锦州软件项目做接口鉴权，签名规则要能替换
有位做软件的锦州老板坐下来问我，接口鉴权是不是越复杂越好？先说结论：够用就好，规则要能换。鉴权方案定得太死，换密钥都要改代码。锦州这边做软件项目的团队，人手通常不宽裕，越简单越不容易出错。
鉴权先选凭证
凭证选什么，先看调用方是谁。内部系统用密钥对，对外接口用令牌更稳妥。选错了，后面改起来很费劲。真排的时候，会先问清调用方有几类。锦州这边做行业软件的企业，多数是内部系统之间调用。分清楚，方案才不别扭。
凭证不能硬编码在程序里。密钥放在配置文件，才能随时轮换。硬编码的值，一泄露就得改程序重发。我们接这类项目时，会把密钥做成可替换的配置项。凌海有家公司原来写在代码里，换一次密钥发了 1 周。抽出来之后，改配置就行了。
签名怎么算
签名要能防篡改。把参数按固定顺序拼好，再算一次摘要。顺序不定，两边算出来就对不上。照我们的惯例，会先把参数名排序，再拼时间戳和随机串。锦州有家做这行的企业联调时卡了两天，问题就出在排序上。规则写死，两边才一致。
时间戳要参与签名。带上时间戳，旧请求才没法重放。在实施阶段，会把有效期设成 5 分钟。锦州松山新区一家厂子用过这个机制之后，重复提交的问题基本没有了。有效期别设太长，1 分钟到 5 分钟比较常见。加一道校验，挡掉的是隐患。
密钥怎么轮换
密钥要有轮换的办法，别等出事才想。到具体项目里面，会做成新旧两个值同时生效，留出一段过渡期。锦州做技术服务的团队交付后往往自己运维，能自己换这一组很关键。技术项目验收后源码完整给到，附 1 年免费维护。过渡期设好，轮换就不用停机。
常见问题
接口鉴权要怎么做
同一套系统里用密钥对，对外开放的接口用令牌，别把它写死在程序里。
密钥一般多久换一次
建议半年一次，出事随时换。做成可配置的，换起来才不费劲。
签名对不上怎么办
先看参数排序和时间戳，这两处最容易出问题，逐项比对即可。
锦州的软件项目做鉴权，先把凭证类型和签名规则定下来。规则能换，后面才不会被动。你那边调用方类型和接口数量是什么情况？信服无限锦州团队愿意先帮你把规则顺一遍，再谈怎么做。