# 用 Haskell 实现 REWE API 逆向工程构建生鲜配送 CLI 工具 > 深入德国最大连锁超市 REWE 生鲜配送平台的 API 逆向工程，用 Haskell 构建类型安全的 CLI 工具实现订单自动化，包含端点发现、MTLS 认证与命令设计要点。 ## 元数据 - 路径: /posts/2026/04/01/rewe-api-haskell-cli-reverse-engineering/ - 发布时间: 2026-04-01T16:26:38+08:00 - 分类: [systems](/categories/systems/) - 站点: https://blog.hotdry.top ## 正文 在德国生活过的开发者对 REWE 这个品牌绝不陌生。作为德国第二大连锁超市集团，REWE 拥有覆盖全国的生鲜配送网络，其移动端和 Web 端应用每天处理着大量的订单请求。然而，REWE 官方并未对外开放 API，这催生了社区对其实施逆向工程的各种尝试。本文将聚焦于如何利用 Haskell 构建一个类型安全的 CLI 工具，实现对 REWE 配送平台 API 的调用与订单自动化。 ## 为何选择 Haskell 构建 CLI 工具 在众多编程语言中，Haskell 并不是构建 CLI 工具的首选，但其在处理结构化数据、命令行参数解析以及类型安全方面的优势，使其成为 API 客户端开发的理想选择。首先，Haskell 强大的类型系统能够在编译期捕获大量错误，这在处理复杂的 API 响应结构时尤为重要。REWE 的后端 API 返回的 JSON 结构嵌套较深，包含大量的商品信息、库存状态、配送时间窗口等数据，使用 TypeScript 或 Python 虽然也能完成，但难以在编译阶段保证数据转换的正确性。 其次，Haskell 的库生态系统为 CLI 开发提供了成熟的基础设施。optparse-applicative 库提供了声明式的命令行参数解析机制，支持子命令、参数验证和自动生成帮助文档。结合 aeson 库处理 JSON 数据的序列化与反序列化，开发者可以以极少的代码量构建出功能完备的工具。此外，Haskell 的纯函数特性使得 API 调用逻辑易于测试，mock 外部依赖也相对简单。 ## API 端点发现与请求拦截 逆向工程的第一步是弄清楚 REWE 移动应用与后端服务器之间的通信方式。由于 REWE 采用了多项安全措施来保护其 API，研究者需要使用抓包工具（如 mitmproxy）拦截 HTTPS 流量，分析请求头、请求体和响应结构。在这个过程中，一个关键的发现是 REWE API 使用了 Cloudflare 的防护机制，并对部分端点实施了双向 TLS 认证（MTLS），这意味着客户端必须携带有效的证书才能建立连接。 从技术实现角度来看，端点发现通常遵循以下模式：首先捕获登录请求，分析认证令牌的获取方式；然后模拟登录流程，提取出用于后续请求的访问令牌；接着遍历商品目录、购物车、地址簿等功能的端点；最后梳理出订单创建和支付的完整调用链路。一个典型的 Haskell 实现需要处理以下核心端点：认证端点（通常包含 OAuth 2.0 流程）、商品搜索与分类端点、购物车管理端点、地址验证端点以及订单提交端点。 在数据建模方面，Haskell 的数据构造函数能够精确地表达 API 响应的结构。例如，商品信息可以建模为包含商品编号、名称、价格、库存状态、图片链接等字段的记录类型，而配送时间窗口则可以表示为包含起始时间、结束时间以及可用容量的 ADT。这种建模方式不仅提升了代码的可读性，还能在 API 响应格式发生变化时提供清晰的迁移路径。 ## 类型安全的认证与请求处理 认证是整个 CLI 工具的核心组件。REWE 的认证流程通常涉及用户名密码登录、获取 JWT 令牌以及令牌刷新三个环节。在 Haskell 中，可以使用_req 库或 http-client 库发送 HTTP 请求，配合 aeson 解析响应。对于令牌管理，可以设计一个 Session 数据类型，存储访问令牌、刷新令牌以及过期时间，并在每次请求时自动注入认证头。 考虑到安全因素，CLI 工具不应明文存储用户密码。一种推荐的做法是首次运行时引导用户输入凭据，使用系统密钥链（如 keychain 或 secret-service）安全存储认证信息，后续调用直接读取缓存的令牌。这种设计既保证了便利性，又避免了凭据泄露的风险。 请求处理的另一个关键点是错误恢复与重试机制。网络请求可能因超时、连接中断或服务端返回 5xx 错误而失败，CLI 工具应当实现指数退避重试策略，并在达到最大重试次数后给出清晰的错误提示。Haskell 的 Either 和 Maybe 类型提供了天然的错误处理语义，结合重试库可以实现优雅的故障恢复。 ## CLI 命令设计与用户体验 一个设计良好的 CLI 工具应当具备直观的使用方式。参考 rewe-cli 项目的实践，可以将功能划分为几个主要的子命令：登录（login）、搜索商品（search）、查看购物车（cart）、添加商品（add）、查看订单（orders）以及配置（config）。每个子命令支持特定的参数，例如 search 命令可以接受关键词、分类过滤、价格区间等选项，输出结果以表格或 JSON 格式呈现。 对于交互式体验，Haskell 同样提供了解决方案。一些项目使用 haskeline 库实现带自动补全的命令行交互界面，用户可以在提示符下输入命令并获得实时建议。此外，配合 TUI 库（如 brick 或 vty），甚至可以构建出带有彩色输出和键盘导航的全屏界面。 在实际部署方面，Haskell 编译出的可执行文件体积适中，启动速度快，且不依赖运行时环境，非常适合在服务器上作为定时任务运行。例如，可以配置一个 cron 作业，每天凌晨自动检查某些热门商品的库存状态，发现补货时发送通知，或者在特定的促销时段自动下单。 ## 工程实践与性能考量 生产级别的 CLI 工具还需要关注性能与资源消耗。Haskell 的运行时系统采用了垃圾回收机制，在处理大量并发请求时需要注意内存管理。使用连接池（connection pooling）可以复用 HTTP 连接，减少握手开销。合理设置超时参数也很重要：连接超时建议设置为 5 至 10 秒，读取超时可以适当放宽至 30 秒，以应对慢速网络环境。 日志记录是排查问题的关键。建议集成 structured-logging 库，将请求耗时、响应状态码、错误类型等信息以结构化格式输出，便于后续分析。对于敏感信息（如令牌），应在日志中自动脱敏。 测试策略上，单元测试覆盖业务逻辑，集成测试验证与真实 API 的交互。由于逆向工程的 API 可能随时变化，最好设计一套接口抽象层，便于在官方 API 改动时快速适配。Haskell 的类型类（type class）机制为此提供了天然的支持。 ## 法律与伦理边界 必须强调的是，逆向工程行为本身可能触及法律红线。REWE 的服务条款明确禁止未经授权的自动化访问，使用自行开发的工具时应当遵守当地法律法规，仅将工具用于个人学习研究，切勿用于商业盈利或大规模自动化抢购。在技术层面，合理的请求频率控制（rate limiting）既是保护自身账号的需要，也是对服务端资源的尊重。 更稳妥的方案是关注 REWE 是否提供官方合作伙伴 API，或者通过正规渠道申请数据对接。目前德国部分大型零售商已开始向合作伙伴开放标准的商品数据接口，这类渠道虽然获取成本较高，但稳定性和合规性更有保障。 ## 小结 用 Haskell 构建 REWE API 逆向工程 CLI 工具是一次兼具技术挑战与实用价值的实践。Haskell 的类型系统保证了数据模型与业务逻辑的准确性，丰富的库生态简化了 HTTP 请求、参数解析和错误处理等常见任务。通过合理设计认证流程、命令结构和错误恢复机制，可以打造出稳定易用的自动化工具。当然，在技术实现之外，开发者仍需审慎评估法律风险，确保工具的使用场景符合合规要求。 ### 参考来源 - REWE 官方在线商店：https://www.rewe.de/service/online-einkaufen/ - pyrewe 项目（Python 实现的 REWE API 封装）：https://github.com/AroPix/pyrewe ## 同分类近期文章 ### [好奇号火星车遍历可视化引擎：Web 端地形渲染与坐标映射实战](/posts/2026/04/09/curiosity-rover-traverse-visualization/) - 日期: 2026-04-09T02:50:12+08:00 - 分类: [systems](/categories/systems/) - 摘要: 基于好奇号2012年至今的原始Telemetry数据，解析交互式火星地形遍历可视化引擎的坐标转换、地形加载与交互控制技术实现。 ### [卡尔曼滤波器雷达状态估计：预测与更新的数学详解](/posts/2026/04/09/kalman-filter-radar-state-estimation/) - 日期: 2026-04-09T02:25:29+08:00 - 分类: [systems](/categories/systems/) - 摘要: 通过一维雷达跟踪飞机的实例，详细剖析卡尔曼滤波器的状态预测与测量更新数学过程，掌握传感器融合中的最优估计方法。 ### [数字存算一体架构加速NFA评估：1.27 fJ_B_transition 的硬件设计解析](/posts/2026/04/09/digital-cim-architecture-nfa-evaluation/) - 日期: 2026-04-09T02:02:48+08:00 - 分类: [systems](/categories/systems/) - 摘要: 深入解析GLVLSI 2025论文中的数字存算一体架构如何以1.27 fJ/B/transition的超低能耗加速非确定有限状态机评估，并给出工程落地的关键参数与监控要点。 ### [Darwin内核移植Wii硬件：PowerPC架构适配与驱动开发实战](/posts/2026/04/09/darwin-wii-kernel-porting/) - 日期: 2026-04-09T00:50:44+08:00 - 分类: [systems](/categories/systems/) - 摘要: 深入解析将macOS Darwin内核移植到Nintendo Wii的技术挑战，涵盖PowerPC 750CL适配、自定义引导加载器编写及IOKit驱动兼容性实现。 ### [Go-Bt 极简行为树库设计解析：节点组合、状态机与游戏 AI 工程实践](/posts/2026/04/09/go-bt-behavior-trees-minimalist-design/) - 日期: 2026-04-09T00:03:02+08:00 - 分类: [systems](/categories/systems/) - 摘要: 深入解析 go-bt 库的四大核心设计原则，探讨行为树与状态机在游戏 AI 中的工程化选择。