高德地图瓦片URL如何构造？参数含义及加密机制是什么？

Question

高德地图瓦片URL构造常因参数缺失或加密失效导致403/404错误。其标准格式为：`https://webrd0{1-4}.amap.com/tile?x={x}&y={y}&z={z}&lang=zh_cn&size=1&scale=1&appkey={appkey}&t={t}`，其中`t`为关键时间戳+MD5签名（非简单时间戳），需基于私钥（通常为AppKey对应secret）按特定算法（如`MD5(appkey + "&" + timestamp + "&" + secret)`）生成；`x/y/z`遵循TMS坐标系（y轴正向朝上）；`size=1`表示256×256瓦片；`scale=1/2`控制高清比；`appkey`需在控制台绑定域名与Referer白名单。常见问题包括：t参数过期（有效期约15分钟）、签名算法误用SHA256或忽略secret、坐标系混淆（WGS84经纬度未转墨卡托切片索引）、HTTPS协议强制要求及跨域限制。官方已不公开完整加签逻辑，逆向依赖客户端SDK行为，直接拼接URL极易触发风控拦截。

Answer 1

```html

一、现象层：典型403/404错误表征与日志特征

开发者在调试高德瓦片加载时，常观察到浏览器控制台报错：Failed to load resource: the server responded with a status of 403 (Forbidden) 或 404 (Not Found)。抓包可见请求URL中 t 参数形如 t=1718234567890_abc123def456，但服务端拒绝响应。错误非随机发生，多集中于首次加载、跨域调试或长时间空闲后重试场景。

二、参数层：URL结构完整性校验清单

• 基础域名：必须为 https://webrd0[1-4].amap.com（共4个负载均衡子域，需轮询）
• 必需查询参数：x, y, z, lang=zh_cn, size=1, scale=1, appkey, t
• 禁止缺失项：遗漏 lang 或 size 将直接返回404；scale=2 需配合高清地图资质，否则403
• HTTPS强制：HTTP协议请求一律被301重定向至HTTPS，未处理重定向则触发跨域失败

三、坐标层：TMS切片索引的数学转换陷阱

高德采用标准TMS坐标系（y轴向上），但输入常误用WGS84经纬度或Google Web Mercator（y轴向下）。正确转换公式如下（JavaScript实现）：

function wgs84ToTms(x, y, z) {
  const n = Math.pow(2, z);
  const xTile = Math.floor((x + 180) / 360 * n);
  const yTile = Math.floor((1 - Math.log(Math.tan(y * Math.PI / 180) + 
    1 / Math.cos(y * Math.PI / 180)) / Math.PI) / 2 * n);
  return { x: xTile, y: yTile };
}

常见错误：将 y 直接取整、忽略 Math.PI / 180 弧度转换、或使用OpenLayers默认的OSM y轴向下公式导致瓦片偏移。

四、签名层：t参数生成的逆向工程验证

经客户端SDK（v2.0+）逆向与实测，t 参数为 timestamp + '_' + md5(appkey + '&' + timestamp + '&' + secret)，其中：

字段	说明	示例
timestamp	毫秒级时间戳，精度必须为13位整数	1718234567890
secret	AppKey在高德开放平台「应用管理→编辑→安全密钥」获取，非前端可见	6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d
MD5	原始字节流MD5（非UTF-8编码后hash），小写32位十六进制	3e2b1a9f8c7d6e5f4a3b2c1d0e9f8a7b

五、风控层：白名单与运行时环境约束

graph LR
  A[发起请求] --> B{Referer检查}
  B -->|匹配控制台配置| C[域名白名单]
  B -->|不匹配| D[403 Forbidden]
  C --> E{HTTPS证书有效性}
  E -->|有效| F[时间戳有效期≤15min]
  E -->|无效| D
  F -->|过期| D
  F -->|有效| G[签名验证]
  G -->|失败| D
  G -->|成功| H[返回瓦片]

六、调试层：可复现的诊断脚本（Node.js）

以下脚本封装完整签名逻辑与坐标转换，支持本地快速验证：

const crypto = require('crypto');
const https = require('https');

function genT(appkey, secret) {
  const ts = Date.now().toString();
  const sign = crypto.createHash('md5')
    .update(`${appkey}&${ts}&${secret}`)
    .digest('hex');
  return `${ts}_${sign}`;
}

// 使用示例：genT('your_appkey', 'your_secret') → '1718234567890_3e2b1a9f...'

七、架构层：生产环境推荐集成模式

• 服务端代理：Nginx或Node.js反向代理，由后端统一签发 t，规避前端密钥泄露风险
• 动态Token服务：提供 /api/amap/token?z=12&x=2048&y=1365 接口，返回含签名的完整URL
• SDK兜底：关键业务仍建议使用高德官方JS API（AMap.TileLayer），其内部自动处理签名轮询与降级

八、演进层：官方策略变化与兼容性预警

自2023年Q4起，高德已对以下行为加强拦截：

• 同一IP高频请求（>50次/分钟）触发IP限速
• 未携带 Referer 头或伪造为非备案域名
• t 参数中 timestamp 与服务器时间偏差 > ±300s
• 连续3次签名错误后，该 appkey 的 token 服务临时封禁10分钟

九、工具层：开源验证工具链推荐

推荐组合使用以下工具进行全链路验证：

1. amap-tile-signer（TypeScript签名库，含单元测试）
2. tilelive-amap（Mapbox生态适配器，支持缓存与批量导出）
3. Chrome插件 Amap Tile Debugger（实时显示当前瓦片坐标、签名值、响应头）

十、合规层：企业级部署必须检查项

检查项	合规要求	检测方式
AppKey绑定	必须在控制台完成「Web端」类型绑定，并填写准确的 http(s)://*.yourdomain.com	登录控制台 → 应用管理 → 查看「Web端」域名列表
HTTPS证书	证书须由可信CA签发，不能为自签名或过期证书	curl -I https://yourdomain.com | grep "200 OK"
Referer策略	生产环境严禁设置 Referer: * 或空值	浏览器Network面板查看请求头

```