Hoppscotch通过Pre-request Script支持动态签名生成：一、HMAC-SHA256时间戳签名（用CryptoJS）；二、RSA私钥签名（用Forge库）；三、UUID+时间戳+Body MD5轻量签名（用SparkMD5）；需注意JSON标准化、时间同步及Authorization头正确注入。
如果您在使用 Hoppscotch 进行 API 测试时需要为每个请求动态生成签名（如 HMAC-SHA256、RSA 签名或时间戳+nonce组合签名），但 Hoppscotch 本身不支持原生脚本执行，可通过其 Pre-request Script 功能结合内置 JavaScript 环境实现签名注入。以下是三种可直接在 Hoppscotch 中运行的签名脚本编写方法：
一、基于 HMAC-SHA256 的时间戳签名
该方法适用于要求 header 中携带 Authorization: HMAC-SHA256 :
1、在 Hoppscotch 请求编辑页，点击“Pre-request Script”标签页。
2、粘贴以下代码：
const timestamp = Math.floor(Date.now() / 1000).toString();
const nonce = CryptoJS.lib.WordArray.random(16).toString();
const method = request.method;
const path = new URL(request.url).pathname;
const bodyHash = request.body ? CryptoJS.SHA256(JSON.stringify(request.body)).toString() : "";
const signingString = `${method}\n${path}\n${timestamp}\n${nonce}\n${bodyHash}`;
const secretKey = "your-secret-key-here";
const signature = CryptoJS.HmacSHA256(signingString, secretKey).toString();
request.headers["X-Timestamp"] = timestamp;
request.headers["X-Nonce"] = nonce;
request.headers["Authorization"] = `HMAC-SHA256 your-access-key:${signature}`;
二、基于 RSA 私钥签名（需 Base64 编码私钥）
该方法适用于服务端采用 RSA 非对称验签的场景。Hoppscotch 不支持 Node.js fs 或本地文件读取，因此私钥必须以 PEM 格式 Base64 编码后硬编码进脚本，并使用 Forge 库（Hoppscotch 已预置 forge.min.js）完成签名。
1、将您的 PEM 私钥（BEGIN RSA PRIVATE KEY）去除换行并 Base64 编码，例如得到字符串 "MIIEow...=="。
2、在 Pre-request Script 中粘贴以下代码：
const privateKeyPem = forge.util.decode64("MIIEow...==");
const privateKey = forge.pki.privateKeyFromPem(privateKeyPem);
const timestamp = Date.now().toString();
const message = `${request.method}|${new URL(request.url).pathname}|${timestamp}`;
const md = forge.md.sha256.create();
md.update(message, "utf8");
const signatureBytes = privateKey.sign(md);
const signatureBase64 = forge.util.encode64(signatureBytes);
request.headers["X-Signature"] = signatureBase64;
request.headers["X-Timestamp"] = timestamp;
三、基于 UUID + 时间戳 + Body MD5 的轻量级签名
该方法适用于内部系统快速验签，无需密钥，仅校验请求唯一性与时效性。利用 Hoppscotch 内置的 crypto.randomUUID() 和 SparkMD5（已预置）计算请求体摘要。
1、确认请求 Body 类型为 raw → JSON，并确保 JSON 格式合法（否则 SparkMD5 计算失败）。
2、在 Pre-request Script 中粘贴以下代码：
const uuid = crypto.randomUUID();
const timestamp = Date.now();
const bodyStr = request.body ? JSON.stringify(request.body) : "";
const bodyMd5 = SparkMD5.hash(bodyStr);
const plain = `${uuid}${timestamp}${bodyMd5}`;
const sign = SparkMD5.hash(plain);
request.headers["X-Request-ID"] = uuid;
request.headers["X-Timestamp"] = timestamp.toString();
request.headers["X-Sign"] = sign;
四、签名调试与错误规避要点
当签名无法通过后端校验时，常因编码不一致或时间偏移导致。Hoppscotch 的 Pre-request Script 执行环境为浏览器上下文，所有字符串操作默认 UTF-8，但部分后端要求 GBK 或忽略空格的 JSON 序列化。
1、强制标准化 JSON 字符串：使用 JSON.stringify(request.body, null, 0) 消除缩进和空格，避免后端解析差异。
2、同步服务端时间：若后端校验 timestamp 偏差超过 300 秒，务必在脚本中使用 new Date().getTime() / 1000 获取 Unix 时间戳，并与服务端 NTP 时间比对。
3、Body 为空时的处理：部分签名算法要求空 body 参与哈希，此时需显式传入空字符串而非 undefined，必须写 request.body ? JSON.stringify(request.body) : ""。
五、签名字段自动注入到 Authorization Header
多数 API 要求将完整签名字符串放入 Authorization Header，而非自定义头。Hoppscotch 允许覆盖已有 header，但需注意大小写敏感性及重复键处理规则。
1、检查当前请求是否已存在 Authorization 头：若存在，脚本会直接覆盖；若不存在，脚本将新增。
2、使用标准 Bearer 模式注入时，拼接格式为 "Bearer
const signingString = `${method}:${path}:${timestamp}`;
const encoded = btoa(signingString);
request.headers.Authorization = `Bearer ${encoded}`;
3、切勿在 Authorization 值前后添加空格或换行，Hoppscotch 不会自动 trim，会导致 401 错误。
