OKX 与 Kraken REST 认证对比：时间戳、Nonce 与重放控制

决策矩阵

来源地图

• OKX API Documentation：REST authentication（okx-rest-authentication）
• OKX API Documentation：OKX API guide（okx-api-guide）
• Kraken Developers：Spot REST Authentication（kraken-rest-authentication）
• Coinbase Developer Documentation：Coinbase App API Key Authentication（coinbase-api-key-authentication）

控制说明

1. Signing object

这一项要求读者把公开来源翻译成操作规则。这里的含义是：OKX and Kraken sign different canonical objects and headers。可执行动作是：document the exact prehash string, header set and body normalization per venue。仍然未知的是：whether a future SDK version changes canonicalization。因此本文不会把未知部分包装成收益承诺、牌照承诺、审批保证、安全保证、恢复保证、平台排名或价格暗示。

2. Replay control

这里的含义是：timestamp expiry and nonce monotonicity are related but not equivalent。可执行动作是：separate local clock checks from per-key nonce generation and storage。仍然未知的是：how each venue handles duplicate or out-of-order private requests during retry。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

3. Permission scope

这里的含义是：a valid signature can still lack trading, funding or account permissions。可执行动作是：start with read-only keys and promote only the smallest permission needed。仍然未知的是：whether account-specific settings restrict the documented endpoint。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

4. Retry behavior

这里的含义是：retrying a signed request can create duplicate, stale or rejected private actions。可执行动作是：classify every retry as idempotent read, order action, cancel action, transfer action or unsafe unknown。仍然未知的是：whether network failure happened before or after venue acceptance。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

5. Evidence stop rule

这里的含义是：API documentation is not private-account proof。可执行动作是：keep URL, access time, endpoint, key scope and non-secret error label in the decision record。仍然未知的是：whether private support or account state changes the outcome。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

仍需明确的未知项

• whether a future SDK version changes canonicalization
• how each venue handles duplicate or out-of-order private requests during retry
• whether account-specific settings restrict the documented endpoint
• whether network failure happened before or after venue acceptance
• whether private support or account state changes the outcome

实用结论

OKX 与 Kraken 都要求 private REST request 签名，但 replay-control model 不能混用。OKX API guide 描述带 timestamp 的 request signing、API key material 与 passphrase handling；Kraken REST authentication guide 描述带 nonce 的 private request 与 API-Sign 构造。可执行结论是：把 clock discipline、nonce monotonicity、permission scope、IP or environment binding、retry logic 与 audit logging 按场所分别实现，而不是共用一个泛化 exchange-auth adapter。 本文停在证据边界内，帮助读者决定下一步核验什么，而不是把公开文档改写成私人账户、钱包、API key、池子路径、稳定币余额、代币化资产或政策框架在任何未来条件下都能成功的承诺。