[3527d89fc6b3f0697ab3afb5714db29f] 
折腾了一阵，把美团系的 mtgsig 请求签名在纯 Go 里跑通了，零浏览器、不调页面 JS。下面聊聊实现思路，欢迎交流。 

破局点：一条链，一个根

整套签名——signKey、mtgsig、设备指纹 H5dfp、siua 盐、dfpId 注册、注册前的风控改写——最终都从同一份随机设备矩阵（tempKey）派生出来。这是整个逆向里最值钱的一个认知：服务端解密和校验时，默认所有字段出自同一份矩阵，所以不能把各字段当独立算法去破，得先把它当成一个整体。 

两层签名：signKey + mtgsig

请求要过两个独立签名： 

signKey：进 query 参数，本质是若干固定字段（时间戳、base64 后的 UA、index、channelId 等）拼接后 MD5，属于"参数防篡改"，这层相对容易。
mtgs...