想玩币安API？这几个关键点让你少走弯路！

讲座 7℃

币安交易所 API 数据接口说明

概述

币安交易所 API (Application Programming Interface) 提供了一套强大的工具，允许开发者以编程方式与币安交易平台进行交互，实现数据访问和交易执行的自动化。API 接口使得开发者无需手动操作币安网站或应用程序，即可获取实时市场数据，包括最新的价格、交易量和深度信息；历史交易数据，用于分析市场趋势和构建量化交易策略；以及用户账户信息，例如余额、交易记录和订单状态。开发者可以利用 API 执行多种交易操作，包括下单、取消订单、修改订单等。币安 API 的设计目标是提供灵活、高效、安全的访问接口，满足不同类型的开发者需求，从个人交易者到机构投资者，都能利用 API 构建自己的交易系统和应用。

为了确保数据安全和交易执行的可靠性，币安 API 采用了多重安全机制，例如 API 密钥认证、IP 地址白名单和速率限制。API 密钥用于验证用户的身份和权限，确保只有授权的用户才能访问 API 资源。IP 地址白名单允许用户指定可以访问 API 的 IP 地址范围，从而限制未经授权的访问。速率限制用于防止 API 被滥用，确保平台的稳定性和可用性。币安 API 提供了多种编程语言的 SDK (Software Development Kit) 和示例代码，方便开发者快速上手和集成 API 接口。开发者可以通过阅读 API 文档和参考示例代码，了解 API 的使用方法和最佳实践，从而构建高效、可靠的交易应用。

API 密钥

与币安API交互，需要一组有效的API密钥。 这些密钥必须先在币安官方网站上申请获得。 申请后，您将获得两个关键组成部分： API Key （API 密钥）和 Secret Key （私钥）。

API Key 的主要作用是唯一标识您的身份，就像您在币安系统中的用户名。每一个API请求都会携带此密钥，以便币安服务器知道请求来自哪个用户。

Secret Key 则更为重要，它用于对发送到币安的 API 请求进行数字签名。 这种签名机制确保了请求的完整性和真实性，防止数据在传输过程中被篡改或伪造。 只有拥有正确的 Secret Key ，才能生成有效的签名，币安服务器才能验证请求的有效性。

请务必高度重视 Secret Key 的安全性。切勿将 Secret Key 泄露给任何第三方。 并且，最佳实践是不要将 Secret Key 以明文形式存储在任何地方，特别是那些安全性无法保证的存储介质或位置。 建议采用加密或其他安全措施来保护您的 Secret Key ，防止未经授权的访问和滥用。

创建 API 密钥步骤:

  1. 登录您的币安账户。 访问 币安官网 ，使用您的注册邮箱和密码登录。如果尚未拥有账户，请先完成注册流程。 确保开启双重验证(2FA)以提高账户安全性。
  2. 前往 "API 管理" 页面。 成功登录后，将鼠标悬停在用户头像上，在下拉菜单中找到并点击 "API 管理" 选项。您将被重定向到 API 密钥管理页面。 某些情况下，该选项可能位于"账户安全"或类似的子菜单下。
  3. 创建新的 API 密钥，并为其设置权限 (如读取数据、交易等)。 在 API 管理页面，为您的新 API 密钥设置一个易于识别的标签（例如 "MyTradingBot" 或 "DataAnalysis"）。创建后，根据您的具体需求，谨慎配置 API 密钥的权限。 "读取数据" 权限允许您访问账户余额、交易历史和市场数据。 "交易" 权限允许您通过 API 自动执行交易。 务必只授予 API 密钥完成其任务所需的最低权限，以降低潜在的安全风险。 如果您仅需要读取市场数据，请勿启用交易权限。
  4. 记录 API Key 和 Secret Key 。 创建 API 密钥后，系统将显示 API Key （也称为公钥）和 Secret Key （也称为私钥）。 请务必妥善保管 Secret Key ，切勿泄露给任何人。 Secret Key 用于签署 API 请求，拥有此密钥的人可以代表您执行操作。 将这两个密钥保存在安全的地方，例如密码管理器。 请注意， Secret Key 只会显示一次，如果您丢失了它，您需要删除该 API 密钥并创建一个新的。

API 基础 URL

所有与币安 API 的交互请求都必须通过特定的基础 URL 进行，这是访问币安数据和功能的入口点。务必将所有 API 请求定向到以下指定的 URL，以确保安全可靠的连接，并获得准确的响应：

https://api.binance.com

使用错误的基础 URL 可能导致连接失败，数据不一致或潜在的安全风险。开发者应仔细检查并确认使用正确的 URL，特别是在部署生产环境中的应用程序时。未来的更新或更改可能会影响 URL，因此建议定期查阅官方币安 API 文档，以获取最新信息和最佳实践。

API 请求格式

API 请求基于标准的 HTTP 协议，支持 GET 和 POST 两种常用的方法。选择合适的请求方法对于确保 API 的正确使用至关重要。

  • GET 请求: 数据通过 URL 参数进行传递。这种方法适用于从服务器检索数据，并且请求参数会附加到 URL 的末尾，以问号 (?) 开头，参数之间使用 & 分隔。由于 URL 的长度限制，GET 请求通常不适合传递大量的数据。
  • POST 请求: 数据通过 HTTP 请求体 (request body) 传递。POST 请求适用于向服务器提交数据，比如创建新的资源或者更新现有资源。请求体允许发送大量的数据，并且可以包含各种类型的数据，如 JSON、XML 等。

所有 API 请求都需要设置以下 HTTP Header，以便服务器能够正确地识别和验证请求的来源。HTTP Header 提供了关于请求或响应的附加信息，对于 API 的安全性和功能性至关重要：

  • X-MBX-APIKEY : 您的 API Key。这是您访问 API 的身份凭证，必须包含在每个请求的 HTTP Header 中。API Key 用于验证您的身份，并允许服务器跟踪您的 API 使用情况。请务必妥善保管您的 API Key，避免泄露，以防止未经授权的访问。

API 请求签名

为了确保 API 请求的安全性及完整性，防止恶意篡改和未经授权的访问，需要对部分敏感 API 请求进行签名验证。该签名机制通过对请求的关键信息进行加密处理，服务器端则验证该签名是否有效，从而确认请求的合法性。

签名算法采用业界广泛使用的 HMAC SHA256（Hash-based Message Authentication Code with SHA256）算法。 HMAC SHA256 是一种基于密钥的哈希算法，它结合了哈希函数 SHA256 和一个密钥，能够生成一个唯一且安全的签名。该算法在身份验证、数据完整性校验等方面有着广泛应用。

具体来说，HMAC SHA256算法的运作流程如下：

  1. 准备签名数据： 收集需要参与签名的数据，例如请求方法（GET/POST等）、请求URL、请求参数、时间戳等。这些数据将按照特定的规则进行排序和拼接，形成一个待签名的字符串。
  2. 生成密钥： 客户端和服务端需要预先共享一个密钥（Secret Key），该密钥用于生成和验证签名。密钥必须妥善保管，避免泄露。
  3. 计算 HMAC SHA256 哈希值： 使用密钥对待签名的字符串进行 HMAC SHA256 哈希计算，生成一个唯一的哈希值，即签名。
  4. 添加签名到请求： 将生成的签名添加到 API 请求的头部或者查询参数中，以便服务器端进行验证。

服务器端收到 API 请求后，会执行以下步骤进行签名验证：

  1. 提取签名： 从请求头部或者查询参数中提取客户端发送的签名。
  2. 重新生成签名： 使用与客户端相同的密钥和签名算法，重新计算请求的签名。
  3. 验证签名： 将重新生成的签名与客户端发送的签名进行比较。如果两个签名一致，则验证通过，表明请求是合法的；否则，验证失败，请求将被拒绝。

通过使用 HMAC SHA256 签名算法，可以有效地保护 API 请求的安全性，防止中间人攻击、数据篡改等安全风险。在开发过程中，务必仔细阅读 API 文档，了解具体的签名规则和参数要求，确保签名算法的正确实现。

签名步骤:

  1. 将所有需要参与签名的请求参数，包括查询参数和请求体参数（如果存在），按照其参数名称的字母升序进行排序。参数名称区分大小写。例如，`paramA` 会排在 `paramB` 之前，而 `param1` 会排在 `paramA` 之后。 如果参数的值本身是一个数组或对象，需要将其序列化为字符串形式，并按照序列化后的字符串进行排序。
  2. 将排序后的参数按照 `key=value` 的形式拼接成一个字符串。每个参数对之间使用连接符连接。连接符的选择取决于具体的API规范，常见的连接符包括 `&` 符号或者空字符。如果参数值为空，则该参数也需要参与拼接，保持 `key=` 的形式。 特殊字符需要进行 URL 编码，例如空格编码为 `%20`。
  3. 使用您的 Secret Key 作为密钥，对拼接后的字符串执行 HMAC SHA256 加密算法。 HMAC (Hash-based Message Authentication Code) 是一种消息认证码，它使用密码学散列函数，并结合密钥来产生消息摘要。SHA256 是一种安全的散列算法，它将任意长度的消息压缩成 256 位的哈希值。 确保使用的 HMAC SHA256 算法库或函数与 API 提供商的要求一致。
  4. 将经过 HMAC SHA256 加密后的结果，通常表现为一串十六进制字符，作为 signature 参数添加到您的请求中。该 signature 参数和其他请求参数一同发送给服务器。 signature 参数的具体添加位置，例如作为查询参数或请求体参数，需要参考 API 接口文档的规定。

示例 (Python):

import hashlib

import hmac

import urllib.parse

使用 Python 进行消息认证码（HMAC）签名，需要引入 hashlib、hmac 以及 urllib.parse 模块。 hashlib 提供各种哈希算法，hmac 用于生成带密钥的哈希，urllib.parse 用于构建 URL 查询字符串。

secret_key = "your_secret_key"

secret_key 变量存储用于生成 HMAC 的密钥。 务必 替换 "your_secret_key" 为您实际的密钥，并且妥善保管此密钥。密钥泄露会导致安全风险。实际应用中，避免将密钥硬编码在代码中，推荐使用环境变量或专门的密钥管理系统。

params = { "symbol": "BTCUSDT", "side": "BUY", "type": "LIMIT", "timeInForce": "GTC", "quantity": 0.01, "price": 40000 }

params 字典存储 API 请求的参数。在这个示例中：

  • "symbol": "BTCUSDT" ：指定交易对为比特币/美元Tether。
  • "side": "BUY" ：指定交易方向为买入。
  • "type": "LIMIT" ：指定订单类型为限价单。
  • "timeInForce": "GTC" ：指定订单有效期为Good Till Cancelled（直到取消）。
  • "quantity": 0.01 ：指定购买数量为 0.01 个比特币。
  • "price": 40000 ：指定限价单的价格为 40000 美元。

这些参数会根据不同的 API 接口而有所不同，需要根据具体的 API 文档进行调整。 订单类型（ type ）常见的还包括 市价单 (MARKET)，止损单 (STOP_LOSS) 等。 timeInForce 除了 GTC 之外，还有 IOC (Immediate Or Cancel)，FOK (Fill Or Kill) 等选项。

1. 排序参数

在构建加密货币交易或其他需要签名的消息时，对参数进行排序至关重要。 sorted_params = sorted(params.items()) 这行代码通过将参数字典 params 转换为键值对的列表，然后根据键（key）对这些键值对进行排序来实现参数的标准化。排序后的参数列表 sorted_params 将按照字母顺序排列，确保无论参数的原始顺序如何，签名算法都将基于相同的输入，从而保证签名的有效性和一致性。

更具体地说， params.items() 方法返回一个包含字典 params 中所有 (key, value) 对的列表。 sorted() 函数接收这个列表作为输入，并根据每个元组的第一个元素（即 key）对列表进行排序。这种排序确保了即使调用 API 时参数顺序不同，最终生成的签名也是相同的，从而避免了因参数顺序不同而导致的验证失败。

在实际应用中， params 字典可能包含交易金额、接收者地址、时间戳等关键信息。对这些参数进行排序是防止重放攻击和确保交易完整性的关键步骤。例如，如果恶意用户试图通过改变参数顺序来篡改交易，签名的验证将失败，从而保护用户的资产安全。因此，理解和正确实现参数排序是加密货币开发中的基础也是非常重要的环节。

2. 拼接参数字符串

为了保证请求的安全性与一致性，通常需要对请求参数进行签名。签名过程的第一步是将所有参与签名的参数按照其键（key）的ASCII码顺序进行排序，并将排序后的参数键值对拼接成一个query string。

可以使用Python的 urllib.parse.urlencode() 函数来实现这一步骤。此函数能够将字典或键值对列表转换为URL编码的字符串，并自动处理特殊字符的转义，例如将空格转换为 %20 。在调用 urlencode() 函数之前，务必确保参数字典 params 已经按照键进行了排序。可以使用 sorted(params.items()) 来实现排序，将参数字典转换为键值对的列表，然后进行排序。

例如： 


import urllib.parse

params = {'api_key': 'your_api_key', 'timestamp': '1678886400', 'amount': '100', 'currency': 'USD'}

# 将参数按照键排序
sorted_params = sorted(params.items())

# 使用urlencode拼接参数字符串
query_string = urllib.parse.urlencode(sorted_params)

print(query_string)
# 输出: amount=100&api_key=your_api_key&currency=USD&timestamp=1678886400

生成的 query_string 将会作为后续签名过程的输入，用于生成最终的签名信息。

3. HMAC SHA256 加密

HMAC（Hash-based Message Authentication Code）SHA256 是一种使用哈希函数SHA256生成消息认证码的算法，用于验证数据的完整性和真实性。 它通过将密钥与消息数据混合，然后使用哈希函数进行处理来实现。

在加密货币领域，HMAC SHA256 常用于API调用签名，确保请求的安全性，防止中间人攻击和数据篡改。其核心在于只有拥有密钥 secret key 的参与者才能生成有效的签名。

signature = hmac.new(secret_key.encode('utf-8'), query_string.encode('utf-8'), hashlib.sha256).hexdigest()

上述代码展示了如何使用 Python 的 hmac 和 hashlib 库来生成 HMAC SHA256 签名。具体步骤如下：

  1. secret_key.encode('utf-8') : 将密钥 secret_key 编码为 UTF-8 格式的字节串。确保密钥以字节形式传递给 hmac.new() 函数。
  2. query_string.encode('utf-8') : 将需要签名的请求字符串 query_string 编码为 UTF-8 格式的字节串。这通常包含 API 请求的参数和值。
  3. hmac.new(secret_key.encode('utf-8'), query_string.encode('utf-8'), hashlib.sha256) : 创建一个新的 HMAC 对象，使用 SHA256 作为哈希算法，并传入密钥和消息。
  4. .hexdigest() : 计算 HMAC 签名，并将其转换为十六进制字符串表示。这是最终生成的签名，可以附加到 API 请求中。

服务端收到请求后，使用相同的密钥和算法重新计算签名，并与客户端传递的签名进行比较。 如果签名匹配，则验证请求的真实性，否则拒绝请求。 密钥的安全性至关重要，需要安全地存储和管理，以防止泄露。

4. 添加 signature 参数以确保请求的安全性

为了确保API请求的安全性，需要对请求参数进行签名。签名通常是使用私钥对请求参数进行哈希运算的结果。将生成的签名添加到请求参数中，服务端会使用公钥验证签名，以此来确认请求的有效性和完整性，防止篡改。

在Python中，签名过程可能涉及到以下步骤：

  1. 构建待签名字符串： 将所有请求参数按照字母顺序排序，并将参数名和参数值拼接成一个字符串。例如，如果参数是 {"symbol": "BTCUSDT", "side": "BUY", "quantity": 0.01} ，排序并拼接后的字符串可能类似 "quantity=0.01&side=BUY&symbol=BTCUSDT" 。
  2. 使用私钥进行哈希： 使用私钥和指定的哈希算法（如HMAC-SHA256）对上一步生成的字符串进行哈希运算。不同的交易所或API提供商可能使用不同的哈希算法，请务必参考其官方文档。
  3. 将签名添加到参数字典： 将生成的签名添加到包含其他请求参数的字典中。通常，签名参数的键名为 "signature"。

示例代码片段： 


import hashlib
import hmac
import urllib.parse

api_secret = "YOUR_API_SECRET"  # 替换为你的API密钥

params = {
    "symbol": "BTCUSDT",
    "side": "BUY",
    "quantity": 0.01,
    "timestamp": 1678886400000 # 时间戳示例，需要根据实际情况更新
}

# 1. 构建待签名字符串
query_string = urllib.parse.urlencode(sorted(params.items()))

# 2. 使用私钥进行哈希
signature = hmac.new(
    api_secret.encode('utf-8'),
    query_string.encode('utf-8'),
    hashlib.sha256
).hexdigest()

# 3. 将签名添加到参数字典
params["signature"] = signature

params["signature"] = signature 这行代码将计算得到的签名值赋给名为 "signature" 的参数，从而将其包含在API请求中。

print(params) 打印包含签名参数的完整参数字典，用于调试和验证。确保在发送请求前检查参数是否正确，特别是签名值。

API 接口分类

币安 API 接口根据其功能可以划分为以下几个主要类别：

  • Market Data Endpoints (市场数据接口): 用于获取实时的、最新的市场数据，包含各种交易对的价格信息、成交量统计、订单簿深度数据、以及历史K线数据等。 这些接口是只读的，无需身份验证，允许开发者监测市场动态、构建交易策略和进行数据分析。 详细信息包括：实时价格变动、24小时交易量统计、最佳买卖盘价格、以及所有可用交易对的快照数据。
  • Account Endpoints (账户接口): 用于访问和管理用户的币安账户信息。 通过身份验证后，用户可以通过这些接口查询账户余额（包括可用余额和冻结余额）、获取历史交易记录、查看持仓信息，以及管理账户设置等。 此类接口需要API密钥进行身份验证，以确保账户安全。
  • Trade Endpoints (交易接口): 允许用户通过程序化方式执行交易操作。 包括提交新订单（市价单、限价单、止损单等）、查询订单状态、取消未成交订单、以及批量下单等功能。 这些接口同样需要身份验证，且强烈建议开发者实施严格的风控措施，以防止意外交易或恶意操作。 支持的订单类型包括现货交易、杠杆交易，以及其他高级订单类型。
  • Withdrawal/Deposit Endpoints (充提币接口): 用于发起加密货币的充值和提现请求。 用户可以通过这些接口请求将加密货币充值到币安账户，或将币安账户中的加密货币提现到外部地址。 此类接口涉及敏感操作，必须进行严格的身份验证和安全控制。 通常会涉及到二次验证（2FA）等安全措施，以确保资金安全。 充值功能可以查询充值历史记录，提现功能可以查询提现状态。

常用 API 接口

以下是一些常用的币安 API 接口，它们提供了访问市场数据、账户信息和交易功能的途径：

  • /api/v3/ping : 用于测试与币安 API 服务器的连接是否正常建立。 成功响应表示 API 服务可用。
  • /api/v3/time : 返回币安服务器的当前时间戳（Unix 时间）。 此接口可用于同步客户端时间，确保请求的有效性。
  • /api/v3/depth : 获取指定交易对的订单簿深度数据，显示当前买单和卖单的价格和数量。 参数包括： symbol (交易对，例如 BTCUSDT)，以及可选的 limit 参数，用于指定返回的深度数量（默认为 100，最大值为 5000）。 较高的 limit 值会返回更详细的订单簿快照。
  • /api/v3/trades : 获取指定交易对的最近成交记录，包含成交价格、数量、时间和买卖方向等信息。 参数包括： symbol (交易对，例如 BTCUSDT)，以及可选的 limit 参数，用于指定返回的成交记录数量（默认为 500，最大值为 1000）。
  • /api/v3/klines : 获取指定交易对的 K 线（蜡烛图）数据，用于技术分析。 参数包括： symbol (交易对，例如 BTCUSDT)， interval (K 线时间间隔，例如 1m、5m、1h、1d，分别表示 1 分钟、5 分钟、1 小时和 1 天)，可选的 startTime (起始时间戳) 和 endTime (结束时间戳) 用于指定数据范围，以及可选的 limit 参数，用于指定返回的 K 线数量（默认为 500，最大值为 1500）。
  • /api/v3/ticker/24hr : 获取指定交易对的 24 小时行情数据，包括开盘价、最高价、最低价、收盘价、成交量、成交额、涨跌幅等统计信息。 参数为 symbol (交易对，例如 BTCUSDT)。
  • /api/v3/account : 获取用户的账户信息，包括可用余额、冻结余额等。 此接口需要进行 API 密钥签名认证。
  • /api/v3/order : 用于下单交易。 参数包括： symbol (交易对，例如 BTCUSDT)， side (交易方向，BUY 或 SELL)， type (订单类型，包括 LIMIT、MARKET、STOP_LOSS、STOP_LOSS_LIMIT、TAKE_PROFIT、TAKE_PROFIT_LIMIT、LIMIT_MAKER)， timeInForce (订单有效期，GTC、IOC 或 FOK，LIMIT 类型订单必需)， quantity (交易数量)， price (交易价格，LIMIT 类型订单必需)，以及可选的 newClientOrderId (用户自定义的订单 ID)。
  • /api/v3/openOrders : 获取当前挂单信息。 可以指定 symbol 参数来筛选特定交易对的挂单。 此接口需要进行 API 密钥签名认证。
  • /api/v3/cancelOrder : 用于撤销挂单。 参数包括： symbol (交易对)，以及 orderId (订单 ID) 或 origClientOrderId (用户自定义的订单 ID) 之一，用于指定要撤销的订单。 此接口需要进行 API 密钥签名认证。

错误处理

与加密货币交易所API交互时，即使是最精心设计的应用程序也可能遇到错误。API请求若未能成功处理，通常会返回一个包含详细错误信息的JSON对象。此对象主要包含两个关键字段： code （错误代码）和 msg （错误消息）。 code 字段提供了一个数字标识符，用于区分不同类型的错误，而 msg 字段则提供了一个人类可读的错误描述，帮助开发者快速理解问题所在并采取相应的措施。开发者应始终检查API响应中的错误代码，并根据错误类型采取适当的处理策略，例如重试请求、调整请求参数或通知用户。

常见的错误代码及其含义如下，但请注意，具体的错误代码和含义可能因交易所API的不同而有所差异。因此，务必参考交易所的官方API文档以获取最准确的信息：

  • -1000 : 未知错误。这通常表示发生了一个无法预料的服务器端问题。建议稍后重试请求，或者联系交易所的技术支持。
  • -1002 : 未授权访问。这表明您提供的API密钥或访问令牌无效或已过期。请检查您的API密钥是否正确配置，并且拥有执行该操作的必要权限。您可能需要重新生成API密钥。
  • -1013 : 内部错误，请重试。这表示交易所的服务器遇到了内部故障。这通常是一个临时问题，建议稍后重试请求。如果问题持续存在，请联系交易所的技术支持。
  • -1021 : 请求的时间戳超出接收窗口。为防止重放攻击，交易所通常会验证请求的时间戳。此错误表明您请求中的时间戳与服务器的时间戳相差太远。请确保您的服务器时间与交易所的服务器时间同步。可以使用网络时间协议 (NTP) 服务来同步时间。
  • -1022 : 签名验证失败。这是最常见的错误之一，表明您的请求签名不正确。请仔细检查您的API密钥、请求参数和签名算法是否正确。确保您使用的签名算法与交易所的要求一致，并且请求参数的顺序正确。
  • -1100 : 请求参数错误。这表示您提供的请求参数无效或缺失。请仔细检查请求参数的名称、类型和值是否正确。参考API文档以了解每个参数的正确格式和要求。
  • -2010 : 账户余额不足。这表示您的账户没有足够的资金来执行该交易。请检查您的账户余额，并确保有足够的资金来支付交易费用。
  • -2011 : 订单不存在。这表示您尝试取消或查询一个不存在的订单。请检查订单ID是否正确，并确保该订单确实存在。订单可能已经被取消或执行。

除了上述错误代码外，还可能遇到其他特定于交易所或特定API端点的错误。因此，在开发与加密货币交易所API交互的应用程序时，务必仔细阅读并理解API文档，并实现完善的错误处理机制。这包括记录错误日志、向用户提供清晰的错误信息，以及在必要时采取自动修复措施。一个健壮的错误处理策略可以显著提高应用程序的稳定性和可靠性。

速率限制

为保障系统稳定性和防止API被恶意滥用，币安实施了严格的速率限制策略，对API请求频率进行管控。这些限制旨在确保所有用户的公平访问，并维护平台的整体性能。速率限制主要分为权重限制和订单速率限制两种机制。

  • 权重限制 (Weight Limits): 币安API的每个接口都关联着一个权重值，该值代表了调用该接口所消耗的资源。每个API密钥都分配了一定的权重限制，即每分钟内可以消耗的最大权重值。例如，查询账户信息的API可能权重较低，而下单或取消订单的API权重较高。权重限制的目的是防止单个用户过度消耗服务器资源，影响其他用户的正常使用。如果API密钥在一分钟内消耗的权重超过了其限制，后续请求将被拒绝，直到下一分钟的配额更新。具体的权重值和限制会根据API接口的重要性和资源消耗情况进行动态调整。
  • 订单速率限制 (Order Rate Limits): 除了权重限制外，币安还对订单提交的频率进行了限制，称为订单速率限制。订单速率限制是指每个API密钥在特定时间段内（例如每秒或每分钟）可以提交的订单数量上限。这个限制旨在防止高频交易机器人或恶意用户通过大量提交订单来操纵市场或对系统造成压力。订单速率限制通常分为两种：每秒订单速率限制和每分钟订单速率限制。如果API密钥在限定时间内提交的订单数量超过了限制，后续订单将被拒绝。订单速率限制的具体数值也会根据市场情况和系统负载进行动态调整。

关于速率限制的详细信息，包括剩余权重、剩余订单数量和重置时间等，会包含在API响应的HTTP Header中。开发者可以通过读取这些Header信息，实时了解API密钥的速率限制状态，并根据实际情况调整API请求的频率，避免触及限制而被拒绝服务。常见的HTTP Header字段包括 X-MBX-USED-WEIGHT , X-MBX-USED-WEIGHT-1M , X-MBX-ORDER-COUNT-1S , X-MBX-ORDER-COUNT-1M 等。开发者应当认真阅读币安API文档，了解各个接口的权重值和速率限制，并合理规划API请求策略，以确保程序的稳定运行。

时间戳

所有需要签名的 API 请求都必须包含 timestamp 参数，该参数代表请求发起的时间点，以 Unix 时间戳（milliseconds，毫秒）格式表示。 timestamp 参数的值必须位于服务器时间的有效窗口内，即正负 5 分钟之内。超过此时间范围的请求将被服务器拒绝，以防止重放攻击和其他潜在的安全风险。

为了进一步增强请求的安全性，强烈建议在每次发送 API 请求时都动态生成新的时间戳。避免使用缓存或预先计算的时间戳，因为这可能会使请求更容易受到攻击。使用每次请求都生成的新鲜时间戳，可以有效降低请求被篡改或重放的风险，从而确保 API 交互的安全性。

时间戳验证是确保 API 安全性的关键环节之一。通过强制要求时间戳并验证其有效性，API 提供者可以有效地防御各种类型的攻击，并确保只有合法的、最新的请求才会被处理。因此，开发者务必正确地实现时间戳生成和验证机制，以构建安全可靠的 API 应用程序。

recvWindow

recvWindow 参数定义了请求在服务器端被接受的有效时间窗口，单位为毫秒（milliseconds）。这是一个重要的安全机制，用于防止由于网络延迟、时间同步问题或恶意攻击导致的请求重放攻击。

具体来说，服务器会检查请求中的 timestamp （时间戳）参数。如果 timestamp 加上 recvWindow 的值大于服务器当前时间，或者 timestamp 减去服务器当前时间大于 recvWindow 的值，那么服务器将认为该请求已过期或无效，并拒绝处理。

换句话说，请求必须在服务器时间的 timestamp ± recvWindow 的范围内才能被成功处理。 例如，如果 recvWindow 设置为 5000 毫秒（5 秒），则服务器会验证请求的时间戳是否在服务器当前时间的前后 5 秒之内。任何超出这个时间范围的请求都将被视为无效。

强烈建议将 recvWindow 设置为一个合理的数值，通常推荐设置为 5000 毫秒（5 秒）。过大的 recvWindow 值会增加重放攻击的风险，而过小的值可能会导致因轻微的时间同步问题而拒绝有效的请求。选择 5 秒是一个权衡安全性和可用性的良好折衷方案。 然而，实际应用中可以根据自身系统的容错性和安全性要求进行调整。例如，对安全性要求极高的应用可能需要设置更小的 recvWindow 值，并采取其他措施保证时间同步的精确性。

请注意，并非所有 API 端点都必须使用 recvWindow 参数。 在安全要求较高的场景，例如涉及资金转移或订单操作的接口，通常需要强制使用 recvWindow 以增强安全性。 在查询市场数据等只读操作的场景，则可能不需要使用 recvWindow 。

上一篇

HTX现货交易新手指南：一文掌握注册、充值、交易与提现全流程！

下一篇

欧易OKX深度交易揭秘：大额交易不慌？【深度评测】

相关推荐