API 请求格式检查、重放准备与调试工具

目标与适用范围

检查请求结构，准备本地重放，对比响应并定位 API 调试线索。工具只做本地分析或生成，不能代替真实鉴权和服务端测试。
本指南将当前任务范围转化为可复核的交付结果。请保留源文件、中间产物和关键判断，让后续协作者能够理解检查了什么以及为什么这样处理。

准备证据并作出选择

• 准备脱敏的请求、cURL 命令、请求头、Query 和请求体。

• 移除真实密钥，并确定输出是 fixture、代码片段还是对比报告。

• 决策点: A：还原请求，还是 B：从已捕获的 Webhook 开始？. 有请求字段时选 A；Webhook 捕获是主要证据时选 B。

按步骤完成工作流

1. 检查请求格式

统一脱敏请求并检查生成的客户端请求形状。 使用 api-request-code-snippet-generator, curl-to-js-fetch, curl-to-python.

2. 准备本地重放

创建受控 fixture 或 Webhook 重放；HMAC 只用于本地计算。 使用 api-mock-server, webhook-debugger-relay, hmac-generator-verifier.

3. 对比并调试

对比响应，检查请求头、TLS、客户端上下文和延迟，再进行获准的服务端测试。 使用 api-response-diff-semantic-analyzer, security-headers-checker, certificate-decoder, api-latency-budget-planner.

交付前验收结果

• 方法、URL、Query、请求头、请求体和内容类型明确，密钥已移除。
• 输出明确是本地分析或生成材料，不声称证明真实鉴权或服务端行为。

常见问题

• 这些工具能替我完成 API 鉴权吗？ 不能。它们只分析脱敏输入或生成本地 fixture 和片段，真实凭据、授权与服务端测试仍需单独完成。
• 重放前要检查什么？ 检查方法、URL、编码、内容类型、请求体、必需请求头、时间戳和签名约定，并先移除密钥。
• 响应差异能证明什么？ 它能显示差异并缩小排查范围，但不能证明具体哪个服务端组件出错。