起因某个 App 的接口里带着一组长得很像签名的参数（kps_wg、sign_wg、vcode 这一类，阿里系客户端常见风格）。我最初的直觉是： 这些都是”客户端身份校验”，换个 UA 假装成官方客户端，是不是就能绕过限速？ 花了两天把链路摸了一遍，结论完全相反。这篇只记方法和踩坑，不点名具体 ...