🔖小红书

先看懂 x-s 的结构小红书 web 端每个 API 请求带 x-s 和 x-t 两个头。x-t 就是毫秒时间戳，没花样。x-s 值得细看——base64 解码后是一个 json，长这样：字段编号和含义随版本有变化，但设计思想不变：签名值 + 签名的"元信息"打包传输，服务端根据元信息选择校验策略。这种设计的好处是算法升级时服务端可以灰度，坏处是——对逆向者来说结构全写在脸上。定位：签名入口其实挂在 window 上小红书前端是 webpack 打包，但签名函数最终暴露成了一个全局函数，名字形如 window._webmsxyw。最快的确认方式：// Console 直接试 typeof wi