如何修復 Kraken 交易 API 上的無效 API 簽章錯誤？

了解 Kraken API 簽章要求

1. Kraken對其交易端點的每個經過身份驗證的請求強制執行嚴格的簽名驗證。

2. 簽章必須使用 HMAC-SHA512 對特定的資料元素串聯進行計算。

3. 每個請求都需要一個唯一的時間戳記（以毫秒為單位），伺服器拒絕早於 60 秒的請求。

4. POST 正文必須先編碼為 URL 編碼字串，然後才能包含在簽名庫中。

5. 請求標頭中使用的 API 金鑰必須與用於簽署的金鑰相關聯的金鑰相符。

正確的簽名建置順序

1. 將所有請求參數組裝到字典中，不包含sign欄位本身。

2. 依字母順序對參數鍵進行排序，並將它們連接成格式為key1=value1&key2=value2 的單一字串。

3. 將 API 端點路徑（例如/0/private/AddOrder ）加入排序後的參數字串中。

4. 使用 UTF-8 對產生的字串進行編碼，並使用解碼的 Base64 API 金鑰作為金鑰來計算 HMAC-SHA512。

5. 將產生的摘要轉換為 Base64 並將其作為簽章參數包含在請求負載中。

Python 實作中常見的編碼陷阱

1. 在將 Base64 編碼的 API 金鑰傳遞給hmac.new()之前未能對其進行解碼會導致無效輸出。

2. 在建立 POST 內文時使用原始 JSON 而不是 URL 編碼的表單資料會導致簽章輸入不符。

3. 在連接之前將時間戳記作為整數傳遞而不將其轉換為字串會引入靜默類型錯誤。

4. 意外地將參數值雙重編碼（一次在 URL 編碼期間，另一次在 JSON 序列化期間）會破壞簽章對齊。

5. 忽略 JSON 有效負載中的空白規範化：Kraken 期望緊湊的 JSON 不含空格，因此必須強制執行分隔符號 =(',', ':') 。

標頭配置要點

1. API-Key標頭必須包含在 Kraken 帳戶儀表板上註冊的確切 API 金鑰字串。

2. API-Sign標頭必須攜帶 Base64 編碼的 HMAC-SHA512 結果，而不是十六進位摘要或原始位元組。

3. 對於所有專用端點， Content-Type標頭必須設定為application/x-www-form-urlencoded 。

4. 標頭中傳遞的時間戳記必須與簽章計算中使用的時間戳精確對齊，不允許捨入或截斷。

5. 所有標題區分大小寫； api-key或Api-Sign將立即驗證失敗。

無效簽章回應故障排除

1. 使用mitmproxy或Wireshark等工具擷取完整的原始請求和回應正文，以比較預期簽名輸入與實際簽名輸入。

2. 在 Python REPL 中手動重建簽章字串，並驗證每個元件的位元組表示形式是否符合 Kraken 的期望。

3. 透過列印金鑰長度（以位元組為單位）來驗證金鑰的 Base64 解碼 — Kraken 金鑰解碼為正好 64 位元組，以實現 SHA512 相容性。

4. 編碼前確認參數值中不存在隱藏字元（如BOM、零寬空格）。

5. 在嘗試私人呼叫之前，先針對 Kraken 的/0/public/Time端點進行測試以驗證時間戳同步。

常見問題解答

Q：Kraken 是否需要像 KuCoin 一樣單獨簽署密碼？不會。 Kraken 在其簽章方案中不使用密碼。 HMAC 計算中僅涉及 API 金鑰和金鑰。

Q：我可以在多個請求中重複使用相同的簽名嗎？不會。每個簽名都綁定到唯一的時間戳記和參數集。重複使用簽名會立即引發拒絕。

Q：為什麼我的簽名在 Postman 中有效，但在 Python 中失敗？這通常源自於不一致的 URL 編碼行為 — Postman 自動編碼值，而 Python 的urllib.parse.urlencode()可能會省略某些字元的編碼，除非明確配置。

Q：Kraken API 參數值有最大長度限制嗎？ Kraken 沒有施加任何記錄的硬限制，但過長的值可能會因為 HTTP 傳輸或內部解析期間的靜默截斷而導致簽章錯位。