3. 接口协议基础：RESTful API 与 SOAP 协议对比、JSON 与 XML 数据格式选择、HTTPS 与安全传输
在承运商集成工程中，接口协议是系统间通信的“语言”。选错协议或数据格式，轻则增加解析开销，重则引发安全漏洞或集成失败。本章从协议、数据格式、传输安全三个维度展开，帮助你在实际项目中做出技术选型决策。
3.1 RESTful API 与 SOAP 协议对比
REST（Representational State Transfer）和 SOAP（Simple Object Access Protocol）是当前企业集成中最主流的两种 Web 服务协议。下表从核心维度进行对比：
| 对比维度 | RESTful API | SOAP |
|---|---|---|
| 协议本质 | 架构风格，基于 HTTP 标准方法（GET/POST/PUT/DELETE） | 消息协议，基于 XML 信封格式，可绑定 HTTP、SMTP、JMS |
| 数据格式 | 通常使用 JSON，也支持 XML、YAML、纯文本 | 强制使用 XML，依赖 XSD Schema 定义 |
| 状态管理 | 无状态（Stateless），每个请求包含全部上下文 | 有状态（Stateful）或无状态均可，通过 WS-* 扩展支持事务 |
| 安全性 | 依赖 HTTPS + （JWT/OAuth2） | 内置 WS-Security，支持消息级加密与签名 |
| 性能 | 轻量，报文小，解析快 | 重量，XML 解析开销大，需额外处理命名空间 |
| 适用场景 | 移动端、微服务、互联网开放平台 | 金融、政府、医疗等对事务/合规要求极高的系统 |
工程经验：承运商集成场景中，80% 以上的新项目选择 RESTful API。仅在对接老牌物流 TMS（运输管理系统）或需要 ACID 事务保证时，才考虑 SOAP。
下图展示了两种协议在承运商运单查询场景中的调用流程差异：
3.2 JSON 与 XML 数据格式选择
数据格式直接影响报文大小、解析性能与可读性。在承运商集成中，JSON 已成为主流，但 XML 在特定场景下仍有不可替代性。
3.2.1 格式对比
| 特性 | JSON | XML |
|---|---|---|
| 可读性 | 简洁，键值对结构直观 | 标签冗余，层级深时阅读困难 |
| 报文体积 | 小（无闭合标签） | 大（每个元素需开闭标签） |
| 解析速度 | 快（原生 JavaScript 支持） | 慢（需 DOM/SAX 解析器） |
| 数据类型 | 原生支持数字、布尔、数组、对象 | 所有数据均为文本，需 Schema 约束 |
| 命名空间 | 不支持 | 支持，避免元素名冲突 |
| Schema 验证 | JSON Schema（非强制） | XSD（强制，严格校验） |
3.2.2 选型建议
- 优先选择 JSON：新开发的承运商接口、移动端查询、实时运单状态推送。
- 保留 XML：对接海关报关系统、老牌 ERP 的 EDI 接口、需要数字签名与 XSLT 转换的场景。
- 混合使用：部分大型物流平台同时提供 JSON 和 XML 两种格式，由客户端通过 Accept 头或参数指定。
性能实测参考：在同等数据量（1000 条运单记录）下，JSON 报文体积约为 XML 的 40%~60%，解析时间缩短 50%~70%。对于高并发查询接口，推荐强制使用 JSON。
3.3 HTTPS 与安全传输
承运商接口传输的运单信息、客户地址、签收图片等属于敏感数据，必须使用 HTTPS 加密传输。以下是 HTTPS 在集成中的关键配置项：
3.3.1 HTTPS 核心要素
| 要素 | 说明 | 工程要求 |
|---|---|---|
| TLS 版本 | 传输层安全协议，替代已废弃的 SSL | 最低 TLS 1.2，推荐 TLS 1.3 |
| 证书类型 | 由 CA 签发的 X.509 数字证书 | 生产环境禁止使用自签名证书 |
| 双向认证（mTLS） | 客户端与服务端互相验证证书 | 高安全场景（如金融级承运商结算接口） |
| 加密套件 | 协商使用的加密算法组合 | 禁用 RC4、3DES、CBC 模式，优先 AEAD |
3.3.2 安全传输架构
下图展示了承运商集成中 HTTPS + 双向认证的典型架构：
3.3.3 安全配置检查清单
- 证书管理：提前申请 CA 签发的通配符或 SAN 证书，配置自动续期（如 Let's Encrypt + certbot）。
- 协议禁用：在 Nginx / API 网关层禁用 SSLv2、SSLv3、TLS 1.0、TLS 1.1。
- HSTS 头：添加
Strict-Transport-Security: max-age=31536000; includeSubDomains强制 HTTPS。 - 证书固定（可选）：对高安全接口使用 HPKP 或证书公钥固定，防止中间人攻击。
常见踩坑：测试环境使用自签名证书时，客户端（如 Java HttpClient、.NET ServicePointManager）需显式信任该证书或关闭验证。生产环境务必使用 CA 证书，否则承运商端会直接拒绝连接。
3.4 协议与数据格式选型决策流程
在实际项目中，可按以下步骤快速决策：
- 判断对接方技术栈：老牌 TMS / ERP 通常只支持 SOAP + XML；新平台优先 REST + JSON。
- 评估数据敏感性：涉及身份证号、银行账号等敏感字段，必须启用 HTTPS + 消息级加密。
- 考虑性能要求：高并发查询（>1000 QPS）强制使用 JSON + REST；低频对账接口可接受 XML。
- 确认安全等级：金融级结算接口启用 mTLS 双向认证；普通运单查询使用单向 HTTPS + 即可。
推荐组合（2025 年承运商集成最佳实践）：RESTful API + JSON + HTTPS（TLS 1.3）+ OAuth2 Client Credentials。该组合兼顾开发效率、传输性能与安全合规，已在主流物流平台（顺丰、菜鸟、京东物流）得到验证。