电商逆向解析之京东4.2签名算法

2024-01-03 09:23:51

介绍

京东作为中国最大的电子商务平台之一，其API接口为开发者提供了丰富的商品、订单和账户数据访问能力。然而，使用这些API需要提供一个有效的签名，以确保数据的安全性和完整性。京东4.2签名算法是其中一种常用的签名方式，它基于公钥-私钥对来验证数据的真实性。本文将详细介绍如何逆向工程京东4.2签名算法，并提供相应的代码示例。

抓取签名数据

逆向工程的第一步是抓取签名数据。可以使用抓包工具（如Fiddler）来捕获京东API请求和响应。通过这些数据，我们可以提取出加密后的签名信息。

提取签名参数

从抓取到的响应中，我们需要提取出关键的签名参数，包括hdid、token和toSignStr。这些参数是构造签名字符串的基础。

构造签名字符串

toSignStr是需要加密的字符串，通常格式为"hdid=hdid_value&token=token_value"。这个字符串将用于后续的签名验证过程。

获取京东公钥

京东提供了公钥用于验证签名，开发者可以从京东网站或其他可信来源获取该公钥。公钥是验证签名过程中必不可少的一部分。

验证签名

使用京东提供的公钥和构造好的签名字符串，我们可以使用JSON Web令牌库（JWT）来验证签名的有效性。以下是一个用JavaScript编写的代码示例，演示如何进行签名验证：

const jwt = require('jsonwebtoken');

// 从抓包工具中提取签名参数
const hdid = 'A700079682145001';
const token = 'd875f100e263e2096e83997c8d27f1db';
const toSignStr = `hdid=${hdid}&token=${token}`;

// 获取京东公钥
const publicKey = 'YOUR_PUBLIC_KEY';

// 验证签名
try {
  const verified = jwt.verify(toSignStr, publicKey);
  if (verified) {
    console.log('签名已验证成功');
  } else {
    console.log('签名验证失败');
  }
} catch (err) {
  console.error('签名验证错误:', err);
}

获取京东API接口和商品数据

一旦签名验证成功，我们就可以访问京东API接口并获取商品数据。以下是一个使用请求库获取商品数据的代码示例：

const request = require('request');

const url = 'https://api.jd.com/v1/jingdong/getJdData';

// 构造请求头
const headers = {
  'Authorization': 'Bearer ' + token,
  'h5st': h5st,
  'toSignStr': toSignStr,
};

// 发送请求
request.get(url, { headers: headers }, (err, res, body) => {
  if (err) {
    console.log('请求失败:', err);
  } else {
    const data = JSON.parse(body);
    console.log('获取商品数据成功:', data);
  }
});