标签 http 下的文章

在 FinTech 量化研发场景中，美股数据的获取与整合是策略回测、产品迭代的核心基础。不少开发者实操时都会陷入误区：以为接口调用是核心难点，实则耗时最多的是稳定获取数据、统一数据结构，以及实现历史与实时数据的复用。本文结合 FinTech 初创团队的真实项目经验，拆解美股数据接口接入的核心痛点，分享基于 AllTick API 的高效落地方案，所有代码可直接复用，帮开发者避开常见坑点。

一、核心痛点：开发者必踩的两大数据接入难题
对量化研发团队而言，数据接入效率直接决定策略迭代速度，但美股数据接入常面临两个核心卡点：

  • 数据衔接断层：历史行情与实时推送数据字段定义不统一，需单独编写两套存储、处理逻辑，不仅增加代码冗余，还易出现数据断层，导致回测与实盘结果偏差；
  • 标准化成本高：原始数据时间戳格式混乱、字段冗余 / 缺失，后续统计分析、可视化需重复适配，严重拖慢研发进度，尤其资源有限的初创团队，会直接延长策略验证周期。

二、破局思路：数据接入的核心技术诉求
解决上述问题无需复杂技术，核心抓住「数据获取」和「数据整合」两大环节：

  • 灵活筛选：接口需支持按股票标的（如 AAPL）、时间周期（1min/5min/1day）、时间范围精准筛选，请求方式简洁易实现；
  • 格式统一：历史与实时数据字段结构必须一致，无需重复开发适配代码，同时保障数据无缺失、时间戳准确；
  • 稳定可靠：支持大跨度数据获取，无超时、丢包等问题。

三、实战落地：AllTick API 接入全流程（代码可直接复用）

（一）Step 1：HTTP 请求快速获取历史数据
美股历史数据接口主流采用 HTTP 请求方式，核心参数支持标的、时间周期、时间范围精准配置，可直接复用以下代码：

import requests
import pandas as pd​
url = "https://apis.alltick.co/v1/market/history"​
params = {​
"symbol": "AAPL", "market": "US",
"interval": "1day",
"start_time": "2026-01-01", "end_time": "2026-03-01"
}​
headers = {​
"Authorization": "Bearer YOUR_API_KEY"
}​
response = requests.get(url, params=params, headers=headers).json()
if response.get("code") != 0:​
raise ValueError("请求失败", response)
data = response["data"]

核心优势：接口返回数据按时间戳升序排列，字段规整无冗余，无需额外排序、清洗，直接进入后续处理环节。

（二）Step 2：标准化处理适配多场景分析
将原始数据转换为 DataFrame 格式并统一时间字段，是量化分析的基础，代码如下：

df = pd.DataFrame(data)
df["datetime"] = pd.to_datetime(df["timestamp"], unit="s")
df.set_index("datetime", inplace=True)
print(df.head())

处理后价值：

  1. 时间索引规范化，支持按时间区间快速切片，适配不同周期策略回测；
  2. 兼容 pandas/NumPy 等库，可直接开展因子计算、统计检验；
  3. 数据结构统一，为实时数据追加奠定基础。

（三）Step 3：WebSocket 实现实时数据无缝追加
AllTick API 的核心优势是历史 / 实时数据字段完全一致，可通过 WebSocket 直接追加实时数据，无需重构存储逻辑：

import websocket​
import json​
def on_message(ws, message):
    msg = json.loads(message)
    new_df = pd.DataFrame([msg])
    new_df["datetime"] = pd.to_datetime(new_df["timestamp"], unit="s")
    new_df.set_index("datetime", inplace=True)
    global df​
    df = pd.concat([df, new_df])
    print(df.tail())
def on_open(ws):
    ws.send(json.dumps({​
        "action": "subscribe",
        "symbol": "AAPL",
        "market": "US",
        "interval": "1min"
    }))​
ws = websocket.WebSocketApp(​
    "wss://apis.alltick.co/realtime",​
    on_message=on_message,
    on_open=on_open​
)​
ws.run_forever()

关键价值：回测阶段的因子计算、信号生成代码可直接复用至实盘，大幅降低适配成本。

（四）避坑指南：3 个提升稳定性的关键细节

  • 结合实操经验，以下细节能有效规避数据风险：
  • 大跨度历史数据（如 5 年日线、1 年分钟线）需分段请求（按季度 / 年度拆分），避免超时或数据丢失；
  • 接入前校验数据完整性，重点核对停牌、节假日等特殊节点的时间戳连续性；
  • 提前制定缺失值处理策略（如前值填充、线性插值），避免回测样本失真。

四、落地效果：研发效率与稳定性双提升
该方案落地后，团队核心指标显著优化：

  • 数据接入开发工时降低 40%：无需为历史 / 实时数据编写差异化代码；
  • 策略回测周期缩短 30%：标准化数据直接对接回测框架，减少格式转换时间；
  • 长期维护成本降低：新增标的 / 调整周期仅需修改参数，无需重构逻辑。

总结
美股数据接口接入的核心，从来不是技术复杂度，而是数据结构的稳定性、时间字段的规范性，以及历史 / 实时数据的衔接流畅度。如果在实操中遇到接口适配、数据校验等问题，欢迎在评论区交流探讨，共同避坑～

飞牛论坛分析原文，官方答复在评论区： https://club.fnnas.com/forum.php?mod=viewthread&tid=53230

下列是回复：

<!-- 感谢分享，分析很精彩，该问题官方已知，经过技术分析追踪该行为是是在公网暴露服务的情况下，开启 http 明文方式访问，设备曾被来自海外的 ip 异常访问或利用，导致三方进程残留或被再次触发，进而产生大量连接的问题。最新系统已对该特征做过滤与防护。
但 http 的明文访问方式本身存在高风险，因此建议

遇到该情况，建议按以下步骤确认一下设备安全
1. 确认当前飞牛系统版本已升级至最新版本 1.1.15
2. 确认在关闭公网端口映射情况下，异常上传行为是否停止
3. 确认设备公网访问场景下，是使用的 HTTPS 与 FNID 或其他加密访问方式

针对遇到问题后重装，需要注意
1. 检查新系统中是否存在非飞牛默认服务的进程、容器或计划任务
2. 需重点关注异常文件是否位于数据盘中，系统重装后仍可能被再次触发

如果在以上操作后，依然遇到疑似风险访问行为，可与官方联系

我们也欢迎技术专家通过官方渠道向飞牛提交安全漏洞线索，经确认的首个有效线索，将获得相应的安全反馈激励。漏洞反馈入口：
https://trim-nas.feishu.cn/share/base/form/shrcnYhRB4ryb9K8Te9GEqeRYYe?from=from_parent_docs

HTTP 在公网传输中存在固有的安全缺陷。最有效的防护措施，就是避免在公网直接使用 HTTP。 -->

以及

<!-- Q：普通用户不开公网，会不会有危险？
飞牛社区主理人
A：不纯是公网原因，明文访问方式才是高风险的关键，有公网的情况下，强制 HTTPS 能避免当前情况 -->

在构建金融交易系统时，我们常说“天下武功，唯快不破”。但在外汇交易的实战开发中，很多开发者往往卡在了第一步：如何优雅且高效地获取实时数据？

前阵子我在优化一个即时汇率换算模块，目标是同时监听 USD/JPY 和 EUR/USD 的波动。需求很明确：低延迟、低资源占用、高稳定性。

传统的 requests.get() 轮询方案在这里是行不通的。每一次 HTTP 请求都要经历三次握手、传输、断开，这种开销对于高频变化的行情数据来说是巨大的浪费。而且，你很难控制轮询的频率——太快了服务器当你是 DDoS，太慢了又捕捉不到瞬间的插针行情。

解决这个问题的标准答案就是 WebSocket。它允许建立一次连接后保持双向通信，服务器有新价格直接推送到客户端。我在对比了几个 API 文档后，选择了 AllTick API 作为演示对象，主要是看重它在断线重连和数据包结构的简洁性上做得比较符合开发直觉。

首先，摒弃复杂的框架，回归最基础的 websocket-client。

pip install websocket-client requests

接下来的核心代码涉及三个回调函数：on_open（建立连接时订阅）、on_message（接收数据）、on_error（错误处理）。

import websocket
import json

def on_message(ws, message):
    data = json.loads(message)
    print(f"{data['symbol']} | {data['price']} | {data['time']}")

def on_open(ws):
    subscribe_msg = {
        "action": "subscribe",
        "symbols": ["EURUSD", "USDJPY"]
    }
    ws.send(json.dumps(subscribe_msg))

ws = websocket.WebSocketApp(
    "wss://api.alltick.co/forex/realtime",
    on_open=on_open,
    on_message=on_message
)

ws.run_forever()

当你订阅了多个货币对时，数据流的压力会变大。

import csv
from datetime import datetime

def save_tick(data):
    with open("forex_tick.csv", "a", newline="") as f:
        writer = csv.writer(f)
        writer.writerow([
            datetime.now(),
            data["symbol"],
            data["price"]
        ])

在处理这些并发数据时，我的经验是：千万不要在 on_message 里做耗时的计算逻辑。先把数据塞进队列（Queue）或者存下来，计算逻辑另起线程处理，否则会阻塞心跳，导致连接断开。

subscribe_msg = {
    "action": "subscribe",
    "symbols": ["EURUSD", "USDJPY", "GBPUSD", "AUDUSD"]
}

从 HTTP 转向 WebSocket，本质上是思维方式从“主动查询”到“事件驱动”的转变。如果你手头也有类似的监控需求，不妨试试上面的代码。你会发现，当数据流实时涌入控制台的那一刻，整个系统的“手感”完全不同了。

在全球金融市场中，日本股市（东京证券交易所 TSE）作为亚洲最重要的市场之一，拥有索尼、丰田、任天堂等众多核心资产。对于开发者而言，获取低延迟、高可靠的日本股票实时行情是构建量化系统或行情应用的关键。

本文将详细介绍如何利用 StockTV 金融 API 快速接入日本市场数据（countryId=35），并重点突出数据的实时性处理方案。

一、 接入准备：获取通行证

在开始对接前，您需要完成以下准备工作：

  1. 获取 API Key：通过官方渠道获取您的专属测试或正式 Key。
  2. 验证身份：在所有请求中，需通过 URL 参数 key=您的Key 进行鉴权。
  3. 数据格式：接口统一返回 JSON 格式，方便前端或后端直接解析。

二、 核心接口对接（日本市场专场）

1. 获取日本股票全列表

通过指定 countryId=35，您可以一次性拉取日本市场的股票基础信息及其实时概览。

  • 接口地址：https://api.stocktv.top/stock/stocks
  • 请求示例：
    https://api.stocktv.top/stock/stocks?countryId=35&pageSize=20&page=1&key=YOUR_KEY
  • 核心字段说明：
  • last: 最新成交价（实时）。
  • chgPct: 涨跌幅（直接拼接 % 即可展示）。
  • time: 数据最后更新的时间戳，用于确保数据的实时性校验。

2. 精准查询特定日股实时行情

如果您已知股票代码（Symbol）或产品 ID（pid），可以使用查询接口获取更详细的实时快照。

  • 接口地址：https://api.stocktv.top/stock/queryStocks
  • 参数示例：?symbol=7203&key=YOUR_KEY（查询丰田汽车）。

3. 实时 K 线数据对接

StockTV 提供多种时间维度的 K 线数据，支持从 5分钟到月线的实时计算更新。

  • 接口地址：https://api.stocktv.top/stock/kline
  • 参数配置：
  • pid: 股票的唯一标识。
  • interval: PT5M (5分钟), PT1H (1小时), P1D (天) 等。
  • 实时性优势：K 线数据随市场价格波动实时合成，确保图表展示不滞后。

4. 日本市场涨跌榜（异动监控）

实时监控日本市场的领涨、领跌个股，帮助用户捕捉市场热点。

  • 接口地址：https://api.stocktv.top/stock/updownList
  • 请求参数：countryId=35&type=1（1为涨幅榜，2为跌幅榜）。

三、 追求极致实时性：HTTP vs WebSocket

为了满足不同场景对“实时”的定义，StockTV 提供了两种接入方式：

接入方式适用场景实时性特点
HTTP API列表展示、基础行情、离线分析定时轮询获取（如每秒请求一次）。
WebSocket交易终端、高频监控、实时图表毫秒级推送。服务器在价格变动的瞬间主动推送至客户端，延迟降至最低。
专业建议：如果您在开发高频交易系统或需要实时跳动价格的 App，请联系官方开启 WebSocket 接入权限。

四、 Python 实战代码：获取日股实时行情

以下代码演示了如何获取日本市场某只股票的最新价格：

import requests

def get_japan_stock_realtime(symbol):
    api_url = "https://api.stocktv.top/stock/queryStocks"
    params = {
        "symbol": symbol,
        "key": "YOUR_API_KEY" # 请替换为您的真实Key
    }
    
    response = requests.get(api_url, params=params)
    result = response.json()
    
    if result.get("code") == 200:
        data = result["data"][0]
        print(f"股票: {data['name']} ({data['symbol']})")
        print(f"最新价: {data['last']}")
        print(f"涨跌幅: {data['chgPct']}%")
        print(f"更新时间戳: {data['time']}")
    else:
        print("请求失败:", result.get("message"))

# 示例：查询索尼 (6758)
get_japan_stock_realtime("6758")

写这篇文章的原因主要还是因为V2EX上的这个贴子，这个贴子中说——

“对接同事的接口，他定义的所有接口都是 post 请求，理由是 https 用 post 更安全，之前习惯使用 restful api ，如果说 https 只有 post 请求是安全的话？那为啥还需要 get 、put 、delete ？我该如何反驳他。”

然后该贴中大量的回复大概有这么几种论调，1）POST挺好的，就应该这么干，沟通少，2）一把梭，早点干完早点回家，3）吵赢了又怎么样？工作而已，优雅不能当饭吃。虽然评论没有一边倒，但是也有大量的人支持。然后，我在Twitter上嘲讽了一下，用POST干一切就像看到了来你家装修工人说，“老子干活就是用钉子钉一切，什么螺丝、螺栓、卡扣、插销……通通不用，钉枪一把梭，方便，快捷，安全，干完早回家……不过，还是有一些网友觉得用POST挺好的，而且可以节约时间。所以，正好，我在《我做系统架构的原则》中的“原则五”中反对API返回码无论对错全是200的返回那，我专门写下这一篇文章，以正视听。

这篇文章主要分成下面这几个部分：

  1. 为什么要用不同的HTTP动词？
  2. Restful 进行复杂查询
  3. 几个主要问题的回应
    • POST 更安全吗？
    • 全用 POST 可以节省时间沟通少吗？
    • 早点回家的正确姿势
    • 工作而已，优雅不能当饭吃

目录

为什么要用不同的HTTP动词

编程世界通常来说有两种逻辑：“业务逻辑” 和 “控制逻辑”。

  • 业务逻辑。就是你实现业务需求的功能的代码，就是跟用户需求强相关的代码。比如，把用户提交的数据保存起来，查询用户的数据，完成一个订单交易，为用户退款……等等，这些是业务逻辑
  • 控制逻辑。就是我们用于控制程序运行的非功能性的代码。比如，用于控制程序循环的变量和条件，使用多线程或分布式的技术，使用HTTP/TCP协议，使用什么样数据库，什么样的中间件……等等，这些跟用户需求完全没关系的东西。

网络协议也是一样的，一般来说，几乎所有的主流网络协议都有两个部分，一个是协议头，一个是协议体。协议头中是协议自己要用的数据，协议体才是用户的数据。所以，协议头主要是用于协议的控制逻辑，而协议体则是业务逻辑。

HTTP的动词（或是Method）是在协议头中，所以，其主要用于控制逻辑。

下面是HTTP的动词规范，一般来说，REST API 需要开发人员严格遵循下面的标准规范（参看RFC7231 章节4.2.2 – Idempotent Methods）

方法 描述 幂等
GET 用于查询操作，对应于数据库的 select 操作 ✔︎
PUT 用于所有的信息更新，对应于数据库的 update 操作 ✔︎︎
DELETE 用于更新操作，对应于数据库的 delete 操作 ✔︎︎
POST 用于新增操作，对应于数据库的 insert 操作 ✘
HEAD 用于返回一个资源对象的“元数据”，或是用于探测API是否健康 ✔︎
PATCH 用于局部信息的更新，对应于数据库的 update 操作 ✘
OPTIONS 获取API的相关的信息。 ✔︎

其中，PUT 和 PACTH 都是更新业务资源信息，如果资源对象不存在则可以新建一个，但他们两者的区别是，PUT 用于更新一个业务对象的所有完整信息，就像是我们通过表单提交所有的数据，而 PACTH 则对更为API化的数据更新操作，只需要更需要更新的字段（参看 RFC 5789 ）。

当然，现实世界中，可能并不一定严格地按照数据库操作的CRUD来理解API，比如，你有一个登录的API /login 你觉得这个API应该是 GET ，POST，PUT 还是 PATCH ?登录的时候用户需要输入用户名和密码，然后跟数据库里的对比（select操作）后反回一个登录的session token，然后这个token作为用户登录的状态令牌。如果按上面表格来说，应该是 select 操作进行 GET ，但是从语义上来说，登录并不是查询信息，应该是用户状态的更新或是新增操作（新增session），所以还是应该使用 POST，而 /logout 你可以使用 DELETE 。这里相说明一下，不要机械地通过数据库的CRUD来对应这些动词，很多时候，还是要分析一下业务语义。

另外，我们注意到，在这个表格的最后一列中加入了“是否幂等”的，API的幂等对于控制逻辑来说是一件很重要的事。所谓幂等，就是该API执行多次和执行一次的结果是完全一样的，没有副作用。

  • POST 用于新增加数据，比如，新增一个交易订单，这肯定不能是幂等的
  • DELETE 用于删除数据，一个数据删除多次和删除一次的结果是一样的，所以，是幂等的
  • PUT 用于全部数更新，所以，是幂等的。
  • PATCH用于局部更新，比如，更新某个字段 cnt = cnt+1，明显不可能是幂等操作。

幂等这个特性对于远程调用是一件非常关键的事，就是说，远程调用有很多时候会因为网络原因导致调用timeout，对于timeout的请求，我们是无法知道服务端是否已经是收到请求并执行了，此时，我们不能贸然重试请求，对于不是幂等的调用来说，这会是灾难性的。比如像转帐这样的业务逻辑，转一次和转多次结果是不一样的，如果重新的话有可能就会多转了一次。所以，这个时候，如果你的API遵从了HTTP动词的规范，那么你写起程序来就可以明白在哪些动词下可以重试，而在哪些动词下不能重试。如果你把所有的API都用POST来表达的话，就完全失控了。

除了幂等这样的控制逻辑之外，你可能还会有如下的这些控制逻辑的需求：

  • 缓存。通过CDN或是网关对API进行缓存，很显然，我们要在查询GET 操作上建议缓存。
  • 流控。你可以通过HTTP的动词进行更粒度的流控，比如：限制API的请用频率，在读操作上和写操作上应该是不一样的。
  • 路由。比如：写请求路由到写服务上，读请求路由到读服务上。
  • 权限。可以获得更细粒度的权限控制和审计。
  • 监控。因为不同的方法的API的性能都不一样，所以，可以区分做性能分析。
  • 压测。当你需要压力测试API时，如果没有动词的区分的话，我相信你的压力测试很难搞吧。
  • ……等等

也许，你会说，我的业务太简单了，没有必要搞这么复杂。OK，没有问题，但是我觉得你最差的情况下，也是需要做到“读写分离”的，就是说，至少要有两个动词，GET 表示是读操作，POST表示是写操作。

Restful 复杂查询

一般来说，对于查询类的API，主要就是要完成四种操作：排序，过滤，搜索，分页。下面是一些相关的规范。参考于两个我觉得写的最好的Restful API的规范文档，Microsoft REST API Guidelines，Paypal API Design Guidelines。

  • 排序。对于结果集的排序，使用 sort 关键字，以及 {field_name}|{asc|desc},{field_name}|{asc|desc} 的相关语法。比如，某API需要返回公司的列表，并按照某些字段排序，如：GET /admin/companies?sort=rank|asc 或是 GET /admin/companies?sort=rank|asc,zip_code|desc

  • 过滤。对于结果集的过滤，使用 filter 关键字，以及 {field_name} op{value} 的语法。比如： GET /companies?category=banking&location=china 。但是，有些时候，我们需要更为灵活的表达式，我们就需要在URL上构造我们的表达式。这里需要定义六个比较操作：=，<，>，<=，>=，以及三个逻辑操作：and，or，not。（表达式中的一些特殊字符需要做一定的转义，比如：>= 转成 ge）于是，我们就会有如下的查询表达式：GET /products?$filter=name eq 'Milk' and price lt 2.55 查找所有的价柗小于2.55的牛奶。

  • 搜索。对于相关的搜索，使用 search 关键字，以及关键词。如：GET /books/search?description=algorithm 或是直接就是全文搜索 GET /books/search?key=algorithm 。

  • 分页。对于结果集进行分页处理，分页必需是一个默认行为，这样不会产生大量的返回数据。


    • 使用page和per_page代表页码和每页数据量，比如：GET /books?page=3&per_page=20。
    • 可选。上面提到的page方式为使用相对位置来获取数据，可能会存在两个问题：性能（大数据量）与数据偏差（高频更新）。此时可以使用绝对位置来获取数据：事先记录下当前已获取数据里最后一条数据的ID、时间等信息，以此获取 “该ID之前的数据” 或 “该时刻之前的数据”。示例：GET /news?max_id=23454345&per_page=20 或 GET /news?published_before=2011-01-01T00:00:00Z&per_page=20。

注意：这里需要注意一下，在理论上来说GET是可以带 body 的，但是很多程序的类库或是中间件并不支持 GET 带 body，导致你只能用 POST 来传递参数。这里的原则是：

  1. 对于简单的查询，很多参数都设计在 restful API 的路径上了，而 filter/sort/pagination 也不会带来很多的复杂，所以应该使用 GET 

  2. 对于复杂的查询来说，可能会有很复杂的查询参数，比如：ElasticSearch 上的 index/_search里的 DSL，你也应该尽可能的使用 GET，而不是POST 除非客观条件上不支持GET。ElasticSearch 的官方文档里也是这么说的。

The authors of Elasticsearch prefer using GET for a search request because they feel that it describes the action—​retrieving information—​better than the POST verb. （我们推荐使用 GET而不是 POST，因为语义更清楚）However, because GET with a request body is not universally supported, the search API also accepts POST requests （除非你的类库或是服务器不支持 GET带参数 ，你再用POST，我们两个都支持）

陈皓注：但是在 ElasticSearch 7.11 后，GET 也不支持 body 了。这是 ElasticSearch 的设计和实现不对应了。

另外，对于一些更为复杂的操作，建议通过分别调用多个API的方式来完成，虽然这样会增加网络请求的次数，但是这样的可以让后端程序和数据耦合度更小，更容易成为微服务的架构。

最后，如果你想在Rest中使用像GraphQL那样的查询语言，你可以考虑一下类似 OData 的解决方案。OData 是 Open Data Protocol 的缩写，最初由 Microsoft 于 2007 年开发。它是一种开放协议，使您能够以简单和标准的方式创建和使用可查询和可互操作的 RESTful API。

几个主要问题的回应

下面是对几个问题的直接回应，如果大家需要我回应更多的问题，可以在后面留言，我会把问题和我的回应添加到下面。

1）为什么API 要Restful，并符合规范？

Restful API算是一个HTTP的规范和标准了，你要说是最佳实践也好，总之，它是一个全世界对HTTP API的一个共识。在这个共识上，你可以无成本地享受很多的技术红利，比如：CDN，API网关，服务治理，监控……等等。这些都是可以让你大幅度降低研发成本，避免踩坑的原因。

2）为什么“过早优化”不适用于API设计？

因为API是一种契约，一旦被使用上，就很难再变更了，就算你发行新的版本的API，你还要驱动各种调用方升级他们的调用方式。所以，接口设计就像数据库模式设计一下，一旦设计好了，未来再变更就比较难了。所以，还是要好好设计。正如前面我给的几个文档——Microsoft REST API Guidelines，Paypal API Design Guidelines 或是 Google API Design Guide 都是让你好好设计API的不错的 Guidelines.

3）POST 更安全吗？

不会。

很多同学以为 GET 的请求数据在URL中，而 POST 的则不是，所以以为 POST 更安全。不是这样的，整个请求的HTTP URL PATH会全部封装在HTTP的协议头中。只要是HTTPS，就是安全的。当然，有些网关如nginx会把URL打到日志中，或是会放在浏览器的历史记录中，所以有人会说 GET 请求不安全，但是，POST 也没有好到哪里去，在 CSRF 这个最常见的安全问题上，则完全就是针对 POST 的。  安全是一件很复杂的事，无论你用哪方法或动词都会不能代表你会更安全。

另外，

  • 如果你要 防止你的 GET 上有敏感信息，应该加个密，这个跟 POST是一样的。
  • 如果你要防止 GET 会被中间人修改，你应该做一个URL签名。（通常来说， 我们都在 GET 上做签名，POST 就忘做了）
  • 如果你要防止有人发一些恶意链接来 hack 你的用户（传说中的 GET 不如 POST 安全的一个问题），你应该用 HMAC 之类的认证技术做好认证（参看 HTTP API 认证授权术）。

总之，你要明白，GET 和 POST 的安全问题都一样的，不要有谁比谁更安全，然后你就可以掉以轻心的这样的想法，安全都是要很严肃对待的。

4）全用 POST 可以节省时间减少沟通吗？

不但不会，反而更糟糕。

说这种话的人，我感觉是不会思考问题。

  • 其一，为API赋于不同的动词，这个几乎不需要时间。把CRUD写在不同的函数下也是一种很好的编程风格。另外现在几乎所有的开发框架都支持很快速的CRUD的开发，比如Spring Boot，写数据库的CRUD基本上就不需要写SQL语言相关的查询代码，非常之方便。
  • 其二，使用规范的方式，可以节约新加入团队人员的学习成本，而且可以大大减少跨团队的沟能成本。规范和标准其实就是在节约团队时间提升整体效率的，这个我们整个人类进行协作的基础。所以，这个世界上有很多的标准，你只要照着这个标准来，你的所生产的零件就可以适配到其它厂商的产品上。而不需要相互沟通。
  • 其三，全用POST接口一把梭，不规范不标准，使用你的这个山寨API的人就得来不断的问你，反而增加了沟通。另外，也许你开发业务功能很快了，但是你在做控制逻辑的时候，你就要返工了，从长期上来讲，你的欠下了技术债，这个债反而导致了更大的成本。
5）早点回家的正确姿势

不要以为你回家早就没事了，如果你的代码有这样那样的问题，别人看懂，或是出误用了你的代码出了问题，那么，你早回家有什么意义呢？你一样要被打扰，甚至被叫到公司来处理问题。所以，你应该做的是为了“长期的早回家”，而不是“短期的早回家”，要像长期的早回家，通常来说是这样的：

  • 把代码组织设计好，有更好的扩展性。这样在面对新需求的时候，你就可以做到少改代码，甚至不改代码。这样你才可能早回家。不然，每次需求一来，你得重新写，你怎么可能早回家？
  • 你的代码质量是不错的，有不错的文档和注释。所以，别人不会老有问题来找你，或是你下班后，叫你来处理问题。甚至任何人都可以很容易地接手你的代码，这样你才可能真正不被打扰
6）工作而已，优雅不能当饭吃

回应两点：

其一，遵循个规范而已，把“正常”叫“优雅”，可见标准有多低。这么低的标准也只能“为了吃饭而生存了”。

其二，作为一个“职业程序员”，要学会热爱和尊重自己的职业，热爱自己职业最重要的就是不要让外行人看扁这个职业，自己都不尊重这个职业，你让别人怎么尊重？尊重自己的职业，不仅仅只是能够获得让人羡慕的报酬，而更是要让自己的这个职业的更有含金量。

希望大家都能尊重自己从事的这个职业，成为真正的职业化的程序员，而不是一个码农！

你的工作给你权力，而只有你的行为才会给你尊重

  工欲善其事必先利其器，这是一个关于十大黑客最佳操作平台的综合文章。

  在本文中，包括公德黑客运用的10个绝佳操作平台。每一个都是免费的，基于于Linux位，并且与许多黑客工具一起打包。

  10.

  |IMG

  是一个渗透检测的发行版的Linux从全球受到了最流行的免费的操作平台无法为黑客，的2017黑客入侵工具包，和周遭的工作GNOME经典图形桌面状态。

  该为大概3GB的镜象DVDISO画质，是基于的发行及自起动运行光碟，其传统在于一套用于网路渗透检测的实用软件虽然它与非常相像，但并不完全相似。采用了GNOME桌面。

  致力于必须执行渗透检测操作的安全学者视频培训脚本，的工作框架大部份包括了五分类软件，这些工具早已在菜单包括五个类别归纳整理。

  下载

  9.

  2017黑客入侵工具包

  |IMG

  是一个基于的开放源码渗透检测Linux发行版，它借助存档进行升级。它包含300多个渗透检测软件，另外还包含进行广泛操作所需的基本管理硬件。

  下载

  8.HAWKLINUX

  截图|IMG：

  HawkLinux被视为常识解决方案有限公司（PvtLtd.）生产的最非凡黑客技术，最有效和全面的基于的渗入测试Linux分散技术。专用于700多种适于渗透检测仪的软件，以及300多种适于多功用安全的器材和蓄意软件调查。

  HawkLinux是为白围巾黑客和渗入测试者设计的基于（Linux）的Linux发行版操作平台。Hawk可以适于网络安全和会计或者数字取证。它还包括多种软件，适合于联通安全和无线网路安全检测。

  下载HAWKLINUX

  7.ARCHLINUX

  ArchLinuxIMG：

  ArchLinux绝对是免费和开放源代码软件，并支持社区参加。

  ArchLinux是通用x86/64GNU/Linux发行版。Arch采用滚动更新机制，尽大力提供最新的稳固版硬件。初始安装的Arch只是一个基本平台，随后客户可以按照自己的偏好安装必须的硬件并配置成合乎自己梦想的平台.

  下载ArchLinux

  6.(NST)

  NST|iMG

  网络安全软件包（NST）是一个可鼓励的即用（live）CD，基于Core。这个软件包设计用来方便访问最棒的开源网路安全应用，主要运行在x86系统上。开发这个网路安全软件包的主要目的是为网路安全管控人员提供一套完备的开源网路安全软件。

  NST最奇特的地方是可以将大多数x86机器（奔腾2及以上）转化成一台可以适于网络流量预测、入侵测试、网络数据包生成、无线网路监视的虚拟服务器，当然它也可以当作一套复杂的网路/主机扫描器来使用。

  下载

  5.WEB

  武士网络测试|IMG：博客

  Web测试框架从根本上集中在检测Web应用程序的安全性，并牵涉Web评估和误用设备的负载。建立“武士网络测试框架”的功绩来自于Kevin，和Frank。“武士框架”为公德黑客和面试者提供了一个即时Linux条件，该条件预先配置为再次运行成为虚拟机执行Web渗透检测。

  武士Web测试框架结合了众所周知的检测器材，如和ance，和适于映射，w3af和Burp的启迪，以及BeEF和的研发。结构依赖于9.04，是完全开源的，并斩获关于工程的正常升级。

  下载WEB

  4.

  IMG

  是一个基于Unix的工作框架，根据由RedHat公司支持的由支持的组创立的Linux和GNU程序（Linux发行版）。

  包括的程序分散在不同的免费和开放源代码许可证下，并计划变成这种科技的主要优势。是RedHatLinux发行版的附属产品。

  下载

  3.

  IMG

  OS是面向安全的操作平台，它被设计为适于渗透检测、计算机取证、反向工程、攻击、云计算渗透检测、隐私/匿名、密码等场合。该发行基于，其传统在于MATE桌面环境，并由研发。

  操作平台运用Kali存档进行各类捆绑更新并协调新的软件。为PC框架审查员提供一个简略易用的GUI和重量级条件，发挥广泛的法律科学，弱点评估和加密。这个操作平台是十分适于定制化。

  下载操作平台

  2.

  LinuxIMG

  是一个基于的Linux发行版，用于在安全检测中帮助道德黑客和渗入测试员工。操作平台的目标是更迅速，更有效地运行并具备可忽视桌面的状况。的主要优势在于，它自己的特定软件内存在正常的时间间隔内进行升级2017黑客入侵工具包，以维持颜色的稳固和流行。

  分散包括从Web测试和平台调查到拉伸测试，嗅探，安全检测，犯罪现场调查和研发的70多种软件。

  下载

  1.KALILINUX

  KaliLinux|

  最先进的渗入测试平台。KaliLinux也是一个旨在于小软件（称为KaliLinux）应用。

  由Ltd维护和支助。最先由的Mati和Devon通过重写来完成，是她们之前写的适于取证的Linux发行版。

  最流行的kaliLinux软件

  Nmap，-ng，，，框架，Burp套件，John培训脚本，社会项目软件包，，，OWASPZAP

  下载KALILINUX