签名验证中间件应放在路由匹配之后、控制器执行之前，注册到api路由组而非全局中间件堆栈，确保在ThrottleRequests之前执行且不调用$request->user()；验签算法需前后端统一为hash_hmac('sha256', $data, $key)，$data须字典序拼接非空参数并URL编码，排除signature、_token等字段，JSON请求需手动读取getContent()并json_decode；失败时返回401空响应或模糊JSON提示，禁止暴露细节，日志需脱敏。
签名验证中间件该放哪里
签名验证必须在路由匹配之后、控制器执行之前做，否则拿不到完整请求参数。Laravel 的 app/Http/Middleware 目录下新建中间件（比如 VerifyRequestSignature），然后注册到 $middlewareGroups['api'] 或具体路由组里——别加到 $middleware 全局堆栈，否则登录页、静态资源也会被拦。
常见错误现象：401 Unauthorized 出现在未带签名的测试请求上，但实际是签名逻辑在 RedirectIfAuthenticated 之后才运行，导致 session 或 token 提前被清空；或者签名验证放在了 web 组里，结果表单提交因没传 signature 字段直接挂掉。
- 只对需要验签的 API 路由启用，例如
Route::middleware('signed')->group(...) - 确保中间件顺序：签名验证应在
ThrottleRequests之前（否则限流可能基于未验证的请求） - 不要在中间件里调用
$request->user()—— 用户认证依赖于签名有效性，顺序反了会出循环依赖
签名怎么算才和 Laravel 对得上
Laravel 默认不提供签名生成逻辑，它只验证你传进来的 signature 是否匹配当前请求参数 + 密钥。所以前后端必须统一算法：用 hash_hmac('sha256', $data, $key)，其中 $data 是按字典序拼接的非空参数（不含 signature 和 _token 等干扰字段），并 URL 编码过。
容易踩的坑：http_build_query($request->all(), '', '&', PHP_QUERY_RFC3986) 看似方便，但会把数组转成 foo[0]=a&foo[1]=b，而前端 JS 可能扁平化成 foo[]=a&foo[]=b，两边结构不一致就必然验不过。
- 服务端拼参前先
array_filter($request->all(), 'strlen')去空值 - 排除字段写死：unset
signature,_token,X-XSRF-TOKEN,Content-Type - 时间戳校验建议加进去（如
timestamp参数），并在中间件里检查是否超 300 秒，避免重放攻击
中间件里怎么取原始请求体（尤其 JSON）
如果接口接收 application/json，$request->all() 拿不到 body 内容，因为 Laravel 默认只解析 form-data 和 x-www-form-urlencoded。这时候得手动读 $request->getContent()，再 json_decode，但要注意：一旦调用过 $request->json() 或 $request->all()，原生 body 就被消耗掉了，无法重复读。
性能影响：每次验签都全量解析 JSON 并拼字符串，对高频小请求有明显开销。不如提前约定只验几个关键字段（比如 id, amount, timestamp），其他忽略。
- 判断请求类型：
Str::startsWith($request->header('Content-Type'), 'application/json') - 安全做法：先
$raw = $request->getContent()，再$data = json_decode($raw, true) ?: [] - 别用
$request->json()->all()—— 它内部会触发多次解析，且不保证字段顺序
签名失败时返回什么信息最稳妥
生产环境绝不能返回 "Invalid signature: xxx" 这种带计算过程的信息，会暴露密钥长度或哈希偏差。Laravel 默认抛 Illuminate\Http\Exceptions\HttpResponseException，但最好统一返回 401 + 空响应体，或仅含模糊提示的 JSON，比如 {"error": "Unauthorized"}。
兼容性影响：有些老客户端（比如嵌入式设备）只认 HTTP 状态码，不看 body；而前端 Axios 默认把 401 当作登录过期处理，可能触发自动跳登录页——这和签名错误不是一回事，得在拦截器里区分 response.headers.get('X-Signature-Invalid') 这类自定义头。
- 中间件内用
return response('', 401)->withHeaders(['X-Content-Type-Options' => 'nosniff']) - 别在异常处理器里捕获
SignatureVerificationException后 dump 出错细节 - 日志记录要脱敏：
Log::warning('Signature verification failed', ['uri' => $request->getRequestUri(), 'ip' => $request->ip()])
签名这事真正麻烦的从来不是写几行 hash，而是前后端对“哪些字段参与计算”“空值怎么处理”“时间戳精度单位”这些细节没对齐。哪怕算法完全一样，一个用了 microtime(true)，一个用了 time()，照样每天固定时间点批量失败。
