954 B
954 B
一站式推送鉴权：appKey + timestamp + sign，password 不进报文
汇吉采 → 一站式平台的订单推送采用 appKey + timestamp + sign 请求头鉴权，sign = MD5(appKey + password + timestamp)（小写），password 只作为密钥参与签名、不放入任何报文字段；一站式侧校验 appKey 匹配、timestamp 与本地时间差 ≤ ±10 分钟（防重放）、以及重算 MD5 与 sign 不区分大小写比对。原始需求文字要求把 password 明文加入请求头，会泄露共享密钥，本方案保留其 appKey/password/年月日时分/MD5 全部要素，仅把 password 降级为纯签名密钥，是相对原始字面的有意偏离；若一站式平台已按原始明文方案实现，兼容退路见 docs/一站式平台推送-接口鉴权规范.md 附录 A。理由：这是对外契约，改动成本高，且偏离点是刻意且必须记录，否则后人会「修复」回明文方案。