一句话：验签逻辑放在离用户最近的 CDN / 边缘节点（POP 节点）执行，而不是后端源站。非法请求在边缘直接拦截，不转发到后端服务器。
你前面问 GLM 中转 API，很多第三方聚合平台就是在边缘节点做验签。
普通后端验签（传统）
客户端 → CDN（只转发） → 源站后端 → 后端做签名校验 ❌ 坏请求也要走到后端，消耗源站算力、带宽，容易被打满。
边缘验签
客户端 → 就近边缘节点（CDN / 边缘网关）
- 边缘节点拿到请求，取出签名、时间戳、请求参数
- 在边缘本地完成签名校验（JWT、URL 防盗链签名、API 签名都属于）
- 签名非法：直接在边缘返回 401/403，不再回源
- 签名合法：再把请求转发给后端源站，可附加身份头往下传
✅ 优点
- 保护源站：恶意刷 Token、伪造签名的流量在边缘直接丢弃，攻击打不到源站。
- 延迟更低：就近节点校验，不用跨地域回源做鉴权，适合 API、大模型接口（GLM 这类）。
- 统一鉴权：所有接口一套验签逻辑，后端业务代码不用再写验签，简化开发。
- 防盗链：CDN 防盗链 URL 签名就是最常见的边缘验签场景。
⚠️ 缺点 & 坑（重点，和你 GLM 调用相关）
- 边缘节点只存公钥，不能放私钥 。如果是对称签名（Secret），边缘集群要持有密钥，密钥泄露风险变大。
- 时间同步问题：边缘节点很多，机器时间不一致，时间戳校验容易误杀合法请求。
- 验签能力有限 ：复杂权限、数据库查询类鉴权做不了，只能做无状态签名校验（JWT、请求签名）。
- 跨平台一致性 ：边缘验签通过后传给后端，后端最好二次轻量校验；只依赖边缘验签，一旦边缘网关被绕过就直接裸奔。
- 第三方中转 GLM 场景 ：第三方平台在边缘做一层验签，但边缘节点能看到你的请求内容，就是前面说的数据隐私风险。
常见场景
- CDN 防盗链 URL 签名（阿里云 DCDN、腾讯 EdgeOne）
- 边缘网关：Cloudflare Workers、APISIX、Lambda@Edge 做 JWT 验签
- 大模型 API 聚合平台：在边缘节点校验调用方的 API 签名，过滤非法调用，保护上游 GLM 源站
和你刚才 GLM 的关联
智谱官方直连：验签在智谱后端 ； 第三方中转平台：很多是边缘验签 ，在边缘节点校验你的签名，过滤无效请求，再转发到智谱 GLM。代价就是请求经过第三方边缘节点。