哔哩哔哩去水印API签名校验怎么做

一、什么是哔哩哔哩去水印 API 签名校验

在调用哔哩哔哩（B站）相关接口时，官方会对请求参数进行签名校验，目的是防止接口被恶意调用或数据被篡改。所谓“去水印”，通常是指通过接口拿到视频的真实播放地址或封面原图，因为官方接口返回的链接往往会带有平台水印信息。理解签名校验的原理，是顺利请求这些接口的前提。

提示：本文仅从技术原理角度讲解签名校验过程，用于学习和研究，请勿用于任何侵犯版权或违反平台协议的场景。

二、签名校验的基本原理

签名校验的核心思路是：客户端按照约定规则，把请求参数排序、拼接，再通过某种算法（常见为 MD5、SHA256 或 HMAC）生成一段“签名串”，随请求一起发给服务端。服务端用同样的规则重新计算签名，如果和客户端提交的一致，就认为请求合法。

1. 常见签名要素

• appkey：应用标识，相当于“账号”
• appsec 或 sign_key：签名密钥，相当于“密码”
• ts：时间戳，用来防止重放攻击
• nonce：随机字符串，进一步增加唯一性
• 参数列表：业务参数，例如 avid、cid、bvid 等

三、签名生成的具体步骤

下面以常见的通用流程为例，演示如何一步步生成签名。注意，不同版本的接口细节可能略有差异，需要结合抓包结果调整。

1. 收集请求参数

首先确定接口地址，例如获取视频信息的接口。然后把所有必填参数整理出来，包括 appkey、ts、bvid、cid 等。

2. 对参数按 key 排序

把参数名按照字母升序排列，这是大多数签名算法的通用做法。示例：

appkey=xxx
cid=123456
ts=1700000000
bvid=ABC123

3. 拼接成待签名字符串

常见的拼接方式有两种：

• 方式 A：key1value1key2value2...（无分隔符）
• 方式 B：key1=value1&key2=value2&...（URL 形式）

具体用哪种，需要通过抓包对比请求来确认。

4. 加入密钥再次拼接

在待签名字符串的头部或尾部加入 appsec（密钥）。例如：

appsec + 待签名字符串 + appsec

这种“夹心”方式在移动端接口中比较常见。

5. 计算哈希值

使用 MD5 或 SHA256 对上一步的字符串进行哈希运算，得到的结果通常需要转为小写十六进制字符串，这就是最终的 sign 值。

6. 把 sign 加入请求

将 sign 作为参数附加到请求中，可以通过 URL Query String，也可以放在 POST Body 中，取决于接口本身的提交方式。

四、用 Python 写一个签名函数示例

下面给出一个简化版的 Python 示例，帮助理解整个流程：

from urllib.parse import urlencode
import hashlib
import time
import random
import string

def make_sign(params, appkey, appsec):
  sorted_items = sorted(params.items(), key=lambda x: x[0])
  raw = ''.join([f'{k}{v}' for k, v in sorted_items])
  to_sign = appsec + raw + appsec
  sign = hashlib.md5(to_sign.encode('utf-8')).hexdigest()
  return sign

params = {
  'appkey': '你的appkey',
  'bvid': 'BV1xx411c7mD',
  'cid': '123456',
  'ts': str(int(time.time())),
  'nonce': ''.join(random.choices(string.ascii_lowercase, k=8))
}
params['sign'] = make_sign(params, params['appkey'], '你的appsec')
print(urlencode(params))

运行后即可得到带签名的完整请求参数。

五、常见问题排查

1. 提示“签名错误”

• 检查参数排序是否正确，是否漏掉了某些隐藏参数
• 确认 appsec 是否为最新版本，官方可能会轮换密钥
• 检查时间戳是否和服务端时间偏差过大

2. 提示“请求过期”

• ts 与服务器时间相差不要超过几分钟
• 同步本地时间，或使用 NTP 服务校准

3. 返回数据为空

• 检查 bvid、cid 是否匹配
• 确认 Cookie 或访问令牌是否有效

六、合规与安全建议

在进行接口调试时，建议遵守以下几点：

1. 仅用于学习和小范围测试，不要高频调用
2. 不要将密钥硬编码在公开代码仓库中
3. 尊重视频作者版权，不要用于盗用或二次分发
4. 遇到接口更新时及时调整签名算法

七、温馨提示

哔哩哔哩的接口和签名机制会不定期更新，本文介绍的方法可能随版本变化而失效。开发者在使用第三方抓包结果时，请务必以实际请求为准，并遵守平台的用户协议和相关法律法规。技术是把双刃剑，希望大家在学习过程中保持理性，把知识用在合规、有价值的场景中。