Partner Request Signing

Partner API 请求签名

Partner API 使用 Ed25519 对规范化请求字符串签名。每个请求必须带：

Header	含义
X-SP-Key-Id	管理端登记的 public-key ID
X-SP-Timestamp	Unix 秒时间戳，允许与服务器相差 300 秒
X-SP-Nonce	每个请求唯一，最长 128 字符
X-SP-Signature	对规范化字符串的 base64 Ed25519 签名

规范化字符串以 LF 连接，path+query 必须与实际请求完全相同，body hash 是请求原始 UTF-8 bytes 的 SHA-256 hex：

<METHOD>
<path+query>
<timestamp>
<nonce>
<sha256hex(body)>

签名后不能重新格式化 JSON、改变 query 参数顺序或改写 path。nonce 在有效窗口内只能使用一次；未知/停用 key、时间过期、签名错误和重复 nonce 都返回 401，缺 scope 返回 403，超过 partner RPM 返回 429 并带 Retry-After: 60。

POST 还必须提供 Idempotency-Key，长度至少 8。网络重试使用同一 key 和相同请求 body；新的业务意图必须使用新的 key 与 nonce。