先明确：平台签名解决什么问题
所谓接口签名，通常是调用方使用密钥对一段确定的数据生成校验值，服务端再使用对应密钥验证数据是否完整、是否由预期主体生成。数字签名主要提供完整性和来源认证，并不等同于加密；签名本身通常不能隐藏请求内容。对于公钥密码体系，私钥负责签名，公钥负责验签。
“中币交易所平台”这一关键词涉及具体平台的接口规则，但仅凭通用技术资料无法确认该平台当前使用的算法、字段顺序、密钥格式或签名编码。因此，下面内容只适用于理解平台可能采用的通用签名机制，实际接入时必须以平台公开的 API 文档为准。
Web Crypto API 中的 sign()
Web Crypto API 的 SubtleCrypto.sign() 接收算法参数、用于签名的 CryptoKey 和待签名数据，异步返回包含签名结果的 ArrayBuffer。待签名数据可以来自 ArrayBuffer、TypedArray 或 DataView；文本通常需要先按照约定编码为字节序列。调用方使用公钥算法时，应传入私钥。若密钥类型与算法不匹配，或算法不适合签名，操作可能失败。
常见算法包括 RSASSA-PKCS1-v1_5、RSA-PSS、ECDSA、Ed25519 和 HMAC。RSA-PSS 还涉及盐长度等参数；ECDSA 涉及椭圆曲线和摘要算法；HMAC 使用同一个秘密密钥完成生成与验证，因此验证方也必须保管秘密，不适合需要公开验证密钥的场景。算法名称相同并不代表参数、签名格式和输出结果可以互换。
JWS 与请求签名的关系
JWS 是一种以 JSON 结构表示受保护内容的格式，能够承载数字签名或 MAC。其核心概念包括受保护的 JOSE Header、Payload 和 Signature。JWS Compact Serialization 通常以三个经过 Base64URL 编码的部分组成，适合放入请求头等较紧凑的位置；JWS JSON Serialization 则适合表达多个签名或更结构化的内容。
如果某个平台采用 JWS，签名对象通常不是“原始 JSON 文本”这么简单，而是由规定的受保护头部和载荷构成的签名输入。算法标识、密钥标识、载荷内容、Base64URL 编码以及是否去掉填充，都必须严格一致。JWS 的思想可以帮助理解接口签名，但不能据此推断某个平台一定使用 JWS。
接入时最容易出错的几个边界
第一是待签名内容不一致。同一组业务字段，只要字段顺序、空格、大小写、数字表示、字符编码或换行不同，签名结果就可能不同。因此需要明确平台要求签名原文是原始 JSON、排序后的参数串、特定分隔符拼接结果，还是 JWS 的规范化输入。不要仅凭自己的序列化习惯猜测。
第二是编码不一致。签名算法通常处理字节，而业务代码处理字符串；从字符串转换为 UTF-8 字节，再将签名转为十六进制、普通 Base64 或 Base64URL，都是不同步骤。尤其要确认是否需要去掉 Base64URL 末尾的填充字符，以及服务端期望的是哪一种格式。
第三是算法参数不一致。RSA-PSS 的盐长度、ECDSA 的摘要算法和签名结构都可能影响验签。ECDSA 输出还可能存在由两个大端整数拼接而成的格式，与某些工具生成的 ASN.1 或 X.509 结构并不相同。
密钥和请求安全的适用条件
私钥或 HMAC 密钥应只保存在受控制的环境中，不能放在公开网页、前端源码、日志或可被他人读取的配置中。浏览器中的 Web Crypto API 适合演示或处理受保护环境中的密钥，但是否适合生产接口，还取决于密钥存储、权限隔离、服务端架构和平台协议。Web Crypto 的相关能力通常要求安全上下文，例如 HTTPS。
签名只能证明某段数据与密钥验证关系成立，不能自动阻止旧请求被重复提交。若平台协议要求时间戳、随机数、递增序列或请求唯一标识，应将其纳入平台规定的签名流程，并在服务端验证有效期或唯一性。是否需要这些字段、字段名称及校验方式，不能由通用规范替代。
常见问题
问：签名失败是不是只要更换算法即可？答：不一定。应先核对密钥类型、算法名称、摘要算法、盐长度、待签名原文、字符编码和输出编码。很多失败来自拼接或序列化差异，而不是算法本身。
问：能否把 HMAC 当作公钥签名使用？答：不能简单等同。HMAC 的签名和验证使用同一秘密密钥，验证方能够生成新的有效 MAC；公钥数字签名则由私钥签名、公钥验证，适用的信任模型不同。
问：看到 sign() 返回 ArrayBuffer 后，是否可以直接放进请求？答：通常还需要按照接口规定转换为十六进制、Base64 或 Base64URL 字符串，并确认是否包含完整字节内容。转换格式错误会导致服务端无法验签。
问：这些内容是否说明中币交易所平台一定支持某种算法？答：不能。本文只解释 Web Crypto API 与 JWS 支持的通用概念，不对特定平台的实际算法、接口字段、密钥申请方式或当前兼容性作出确认。