低存储无自定义请求头IoT设备对接DRF后端的接口防护咨询

以下方案完全匹配列出的三项硬性约束，不需要设备改造请求头、不需要大容量存储、不依赖第三方CDN能力，所有逻辑可直接在现有DRF服务+前端接入层实现：

核心身份校验逻辑：URL路径携带轻量签名 #

这套逻辑不需要设备修改任何默认请求头，单设备凭证体积极小：

• 设备出厂/初始化时，预烧录唯一的device_id（20字节以内）和设备专属16字节对称密钥device_secret，单设备存储占用不到50字节，完全满足低存储要求
• 设备上报数据时，直接按固定规则拼接请求URL，不需要自定义任何请求头：把device_id、当前10位Unix时间戳ts、签名值sign直接放在URL路径段，请求示例：POST https://你的源站域名/api/iot/upload/<device_id>/<ts>/<sign>/，请求体正常放采集的业务数据即可
• 设备侧签名计算逻辑极简单，适配弱性能IoT芯片：将device_id + ts + 请求体前32字节 + device_secret拼接后做MD5哈希，取32位16进制字符串作为sign值，全程不需要复杂加密运算
• DRF后端对应校验逻辑：
  • 从URL路径提取device_id，查询数据库匹配预存的对应device_secret，匹配不到直接返回403
  • 校验携带的时间戳ts和服务器当前时间差值，超过5分钟直接返回403，拦截过期请求
  • 按照和设备侧完全一致的规则生成服务端签名，用恒定时间对比方法和请求携带的sign比对，不一致直接返回403
  • 用Redis做10分钟周期的已处理签名缓存，同一个时间窗口内重复上报相同签名的请求直接拦截，彻底防重放攻击

多层加固方案（不增加设备侧负担） #

因为不能用Cloudflare等CDN做边缘防护，直接在源站接入层和DRF层加轻量过滤即可，不需要设备做任何改造：

• Nginx接入层做频率控制：针对IoT上报接口，单源IP请求频率超过12次/分钟直接拉黑10分钟，拦截恶意扫描、爆破签名的请求
• 加默认UA白名单校验：设备发HTTPS请求时会自带固件默认的User-Agent头，不需要手动设置，后端直接校验UA头是否在设备默认UA列表里，过滤掉通用扫描器的探测请求
• 做轻量密钥自动轮换：设备每次上报成功后，DRF在响应体里下发下一次上报要用的新16字节device_secret，设备直接覆盖本地存储的旧密钥即可，全程不需要额外存储空间，单设备密钥泄露不会影响全局安全

方案适配性说明：

1. 所有认证参数全部放在URL路径段，不需要设备自定义设置任何请求头，用设备默认的HTTPS客户端就能正常发起请求
2. 设备侧仅需要存储不到50字节的device_id和device_secret，轮换密钥时也只存单份密钥，完全适配低存储空间限制
3. 所有防护逻辑全部在自有源站实现，不依赖任何第三方CDN服务，不存在CDN拦截设备请求的问题
   注意：全程必须强制HTTPS传输，HTTPS会加密整个URL路径和请求体内容，不会出现签名、密钥相关参数明文泄露的问题。

内容的提问来源于stack exchange，提问作者Amin Malek Mohammadi