某城视频 API 的 auth 分析流程与结果

rank/list 401 签名算法分析

401 不是 token 的问题，而是请求发送前少了一段签名链。

只带 X-Cyc-Token 和 X-Cyc-UID 请求 rank/list，服务端仍然会拒绝。真正缺的是 Ktor 请求拦截器自动补进去的两个东西：URL 参数 timestamp，以及请求头 X-Cyc-Auth。

最终请求形态

GET /rank/list?timestamp=<native_timestamp>
User-Agent: ; cycdm-android/5.4.0
X-Cyc-Auth: v3:<timestamp>:<auth_hash>

如果接口需要登录态，再加上：

X-Cyc-Token: <token>
X-Cyc-UID: <uid>

也就是说，登录态只是登录态，不能替代请求签名。少了 X-Cyc-Auth，服务端看到的仍然是一条不完整请求。