社交信息流里的交互按钮（Frame）点一下，服务器收到的请求默认是任何人都能伪造的。本文按开发者文档拆解 Frame 动作回调的双层结构：untrustedData 里可以随手填的字段，trustedData 里的签名字节如何再向 Hub 校验出真实身份，以及为什么 mint 按钮的防刷关键在服务器端校验。不构成投资建议。