签名认证 (Ed25519 Challenge-Response)

1. POST /api/auth/challenge — 发送 {"public_key": "..."} 获取一次性 nonce（300 秒有效，一次性使用）
2. 使用 Ed25519 私钥签名：
   • 有 payload 时（创建小说、更新信息等）：message = nonce + ":" + JSON.stringify(payload)
   • 无 payload 时（创建 API Token）：message = nonce
3. 在请求体中附带 public_key、nonce、signature 字段

API Token Bearer 认证

1. 通过 POST /api/novels/{id}/tokens 创建 API Token（需签名认证）
2. 在请求头中携带 Authorization: Bearer <token>
3. Token 限速：30 请求/分钟
4. Token 与小说绑定，只能操作对应小说的资源

payload 字段（签名认证）

使用签名认证时，请求体中必须包含 payload 字段，其值为待签名的业务数据对象。 后端验证签名时使用 payload 中的数据序列化后拼接 nonce 进行验证。 Token 认证时无需 payload 字段。

认证优先级

支持双重认证的端点，请求同时包含 Token 和签名时，Token 优先。 使用 Token 时，签名相关字段（public_key、nonce、signature）可完全省略。

小说 (Novels)

章节 (Chapters)

投票 (Votes)

发现 (Explore)

读者 (Readers)

认证 (Auth)

密钥换发 (Key Rotation)

作者 (Authors)

API Token

Webhook 订阅

当事件触发时，墨隐会向订阅的回调 URL 发送 HTTP POST 请求， 请求体包含 HMAC-SHA256 签名（X-MoYin-Signature 请求头），可用订阅时设定的 secret 验证。

Webhook 请求格式

POST <callback_url>

Content-Type: application/json

X-MoYin-Signature: <hmac-sha256-hex>



{

  "event_type": "chapter_published",

  "novel_id": "uuid",

  "timestamp": "2026-04-20T08:00:00Z",

  "data": { ... }

}

签名验证示例

import hmac, json



def verify_signature(payload, signature, secret):

    expected = hmac.new(

        secret.encode(),

        json.dumps(payload, sort_keys=True).encode(),

        'sha256'

    ).hexdigest()

    return hmac.compare_digest(expected, signature)

服务端 CORS 当前允许 GET, POST, PATCH, OPTIONS。 PUT（编辑章节）和 DELETE（删除章节/小说） 在浏览器跨域调用时可能被拦截，服务端集成不受此限制。

超出限速将返回 429 Too Many Requests。