之前做电商渠道价格监控项目，要盯两百多个品牌的日常售价与历史价格走势。列表页数据拿得很顺，一碰到商品详情的价格接口就卡壳了：请求必须带sign签名参数，从浏览器复制出来的参数五六分钟就失效；自己改个商品ID拼请求，直接返回403权限错误，连错误提示都没有。一开始以为就是个简单的MD5时间戳签名，搜了下JS里的md5关键字，照着拼了好几次，全是403。后来硬着头皮追调用栈、扒混淆JS，花了两天多才把整套签名逻辑扒明白：不是简单MD5，是参数按字典序排序后加固定密钥做HMAC-SHA256签名，还混入了Cookie里的设备标识和时间戳，错一个字段都通不过校验。今天把完整的逆向过程、签名还原、批量采集方案全部分享出来，思路通用，绝大多数带签名校验的接口都能按这个路子拆。一、第一步：定位加密入口，别瞎搜关键词很多人碰到加密接口，第一反应就是全局搜sign、encrypt这类关键词。混淆过的代码里，同名变量能搜出几十个，一个个看纯浪费时间。效率最高的方式是从请求入手，顺着调用栈往上追。1.1 先抓包看参数特征先开DevTools的Network面板，请求一次价格接口，先把参数特征摸清楚，大致判断加密类型。我当时抓到的核心参数有这几个：skuId：商品规格ID，业务核心参数_t：13位毫秒时间戳，每次请求都变nonce：16位随机字母数字串，防重放