butubb
2613f7577f
结论：签名可自造、主站 cookie 即可认证、接口与参数已与真实页面对齐。不需要浏览器、不需要独立的创作者登录。 - tools/probe_creator_api.py: 纯 HTTP 探针。用 XYW_ 算法自签（MD5 → base64 → AES-128-CBC， 密钥与 IV 与 xhshow/config/config.py 逐字节一致），对 note/analyze/list 发请求 - tools/probe_creator_page.py: 打开真实数据分析页，记录页面自己发的请求，作为地面真相 Phase 0 的三条实测结论： 1. 签名可伪造。三种写法里只有「url= + 路径 + 查询串」被接受（200）；仅路径、或裸路径都 406。 并且不带 cookie 时返回的是应用层 401「无登录信息」而非网关 406 —— 说明签名每次都已通过 2. 主站 .xiaohongshu.com 的 cookie 就能认证创作者后台，不需要单独的创作者会话 3. 当前账号 dfg 返回空数据不是技术问题：permission/query 的 tip_msg 是 「已为您申请数据权限，次日可查看」，display/status 均为 0，即权限尚未生效 关键佐证：真实页面调 note/analyze/list 用的查询串与本探针生成的完全一致，且拿到同一份空响应。