淘宝评论区sign字段加密js逆向

逆向网址

淘宝某品牌的评论区

进入网址，选择某项商品 打开开发者工具，点击全部评评价

如何快速搜索到想要内容的文本，直接在开发者工具中搜索

找到请求后，发现请求中包含sign字段

然后搜索sign:，注意这里要搜索带冒号的，以及在网站资源中搜索，而不是在响应中搜索

搜索发现一大堆，别急，我就瞅这个挺像的，然后前后进行断点伺候，重新点击全部评价，进入断点

观察代码，sign的值是eE, 是由四部分组成的

分别将这四部分放在控制台输出看一眼 然后结合代码分析组成部分

ey.token:是某个对象的token值
eM：时间戳
eT：像是个常量
em.data：像是该商品的商品数据

然后分析eP方法，因为上面的值进入到了ep方法，鼠标悬浮到ep位置，然后进入就可以定位到，看着挺吓人

粘贴到js文件中，这里自己创建的js即可

把对应的值，按照ep的入参拼接逻辑，输入到ep中看下sign是否正确

网站生成的值：

js生成的值

发现就是这里，完成。

然后我们回到那几个参数

ey.token:是某个对象的token值
eM：时间戳 node也能实现同样的
eT：像是个常量  需要看下其他商品是不是也是这个值，如果是一样的 就暂且说明是个常量
em.data：像是该商品的商品数据,你要获取某个商品的评论区 肯定得有个标识，也比较合理，

就只剩下ey.token了，我们把这个值在响应数据中搜索一下，看看咋回事：

发现这个值是某个请求的cookie数据中的，再翻翻看，我们在页面的cookie数据中发现了这个token，说明sign的加密需要页面带过来的这个值

如果这个请求页面的请求数据没有加密，那应该是彻底ok了，发现没有加密数据了，可以直接获取到这个item，请求中只有一个id，和上面的商品id发现是一样

那么一切都通了，简单画个图各位看一下吧