首先，描述的不清不楚，应该用什么算法，什么key去签名，有什么安全问题，都没说，ios的代码写的不清不楚。虽然我知道hmac-sha1是什么鬼，但是也不知道应该写哪。然后我去扒你们工单，才提到了不要在客户端签名，用master key，会泄露。然后才看到要用自有服务器去签，或者你们的云引擎去签。然后又要去扒出来，云引擎是怎么个签法，你说烦不烦？

还有我想问，如果app被人反编，拿到了云引擎签名的地址，不是照样可以随意请求聊天？

是的，所以我正打算把session token当请求参数，问题是如果不带这个session token，或者a无权和b聊，就不颁发签名吗？客户端收到无签名之后再做相应处理？其实我们说的这些就是我说的可以说清楚的东西，没有了解这样的逻辑，光是了解概念，可能会跟你们的设计意图偏离。