逆向解析某东h5st参数：从window.PSign到SHA256加密全流程

1. 初探h5st：某东搜索接口的“通行证”

大家好，我是老张，一个在爬虫和逆向领域摸爬滚打了十来年的老码农。今天咱们不聊那些虚头巴脑的理论，直接上手干一个硬核实战——逆向某东商品搜索接口里的那个让人又爱又恨的 h5st 参数。如果你在做数据采集或者接口分析时，被这个参数卡住过，那这篇文章就是为你准备的。咱们的目标很简单，就是像剥洋葱一样，一层层把这个参数的生成逻辑彻底搞清楚，从最开始的 window.PSign.sign 调用，到核心的 SHA256 加密，最后把整个环境给补全，让你能在自己的本地环境里完美复现这个加密过程。

h5st 是啥？你可以把它理解成某东H5页面（比如手机网页版）调用其核心数据接口时，必须携带的一张“动态通行证”。没有这张通行证，服务器根本不会搭理你的请求。它不是一个固定的值，而是由当前页面的状态、你的操作行为、时间戳等一系列信息，经过一套复杂的算法计算出来的。这就意味着，你不能简单地复制一个值反复用，必须自己学会怎么“造”这张通行证。我们这次聚焦的场景，就是商品列表的翻页搜索。当你滑动页面加载更多商品时，浏览器就会带着新生成的 h5st 去请求数据。我们的任务，就是把这个“造”的过程完整地逆向出来。

我刚开始接触这个参数的时候，也走了不少弯路。网上资料零零碎碎，要么只讲结果不讲过程，要么环境补全部分一笔带过，真到自己动手时，各种报错和异常值让人头大。所以，我决定把这次完整的逆向过程，包括所有踩过的坑和最终的解决方案，毫无保留地分享出来。咱们不搞花架子，就用最朴素的调试手段——断点，配合清晰的逻辑分析，一步步把它拿下。你会发现，只要思路对了，再复杂的加密也有清晰的脉络。

2. 锁定目标：从断点追踪到核心加密函数

逆向的第一步永远是定位。别一上来就想着扣代码，先得找到代码在哪。对于某东的H5页面，最有效的方法就是直接搜索关键词。我们在浏览器开发者工具的“Sources”面板里，直接全局搜索 h5st。搜索结果可能会出来好几个文件，别慌，把所有看起来可疑的位置（比如包含 h5st 赋值、h5st 作为参数传递的地方）都打上断点。

打上断点后，回到网页进行触发加密的操作——对我们来说，就是滚动商品列表触发翻页加载。一旦请求发出，代码执行就会在我们的断点处暂停。我实测下来，最终会断在一个非常关键的位置：window.PSign.sign(colorParamSign)。看到这行代码，心里就踏实了一半，因为它明确地告诉了我们两件事：第一，加密操作是由 window.PSign 这个对象的 sign 方法执行的；第二，加密的输入参数是一个叫 colorParamSign 的对象。

接下来，咱们先按住好奇心，别急着去抠 window.PSign.sign 这个函数。 按照逆向的常规思路，我们应该先分析它的输入参数 colorParamSign。在调试器里展开这个对象，你会发现它里面包含了好几个字段，比如 functionId、body、appid 等等。其中，body 字段的内容看起来像是一长串毫无规律的字符，明显是经过某种处理后的密文。而其他字段大多是明文的业务参数。我们的首要目标，就是搞清楚这个 body 是怎么来的。

把鼠标移到 body 字段上，或者查看其赋值语句的上文，很容易就能找到它的生成位置。通常，就在