LaravelAPI如何做请求签名_LaravelAPI请求签名验证方法【操作】-Laravel-PHP中文网

hash_hmac是防篡改+身份确认的标准签名方案，需密钥、不可逆、抗碰撞；md5/sha1无密钥易被重放；Laravel中间件须用getContent(false)取原始请求体，timestamp校验±5分钟，nonce防重放，字段须放header且严格一致。

laravelapi如何做请求签名_laravelapi请求签名验证方法【操作】

签名的核心是防篡改+身份确认，必须带密钥、不可逆、抗碰撞。md5 和 sha1 没有密钥，纯哈希容易被重放或伪造；hash_hmac 是标准选择，Laravel 自带支持，密钥不暴露、输出稳定。

服务端和客户端必须用完全相同的密钥（建议存在配置里，别硬编码）
签名原文必须固定顺序拼接：通常为 method + uri + timestamp + nonce + body_md5（如有 JSON body）
注意：timestamp 应校验有效期（如 ±5 分钟），否则签名形同虚设
不要对 query string 做 URL decode 后再签名——客户端编码后传什么，服务端就拿什么拼

默认 Laravel 的 $request->getContent() 在中间件里可能为空，因为后续逻辑（比如 FormRequest）会提前解析并清空流。签名验证必须在最前，且要确保能读到原始字节。

在中间件的 handle 方法开头立刻调用 $request->instance()->getContent(false)（false 表示不刷新流）
如果用了 json 或 form-data，别依赖 $request->all() 拼签名——它已解码/过滤，和客户端发的原始结构不一致
Body 为空时，body_md5 应统一约定为 md5('')（即 'd41d8cd98f00b204e9800998ecf8427e'），避免空值处理差异
验证失败直接 return response('', 401)，别抛异常——异常可能被全局 handler 捕获并返回 500，掩盖真实问题

这两个字段看着简单，但错一个字符整个签名就失效，而且调试极难定位。

Laravel Cloud

Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。

下载

timestamp 必须是秒级整数（不是毫秒），且客户端和服务端时钟误差需控制在允许窗口内（推荐用 NTP 校准，或让客户端从服务端接口先拉一次时间）
nonce 是一次性的随机字符串（推荐 bin2hex(random_bytes(16))），不能重复，服务端需缓存近期用过的 nonce（比如 Redis 5 分钟 TTL）防止重放
这两个字段必须放在请求头（如 X-Signature-Timestamp / X-Signature-Nonce），别塞进 query 或 body——否则签名原文和实际传输内容不一致
别在 header 里加空格或换行，trim() 一下再参与签名计算

签名验证必须在所有可能修改请求数据的中间件之前执行，否则签名原文和实际收到的内容对不上。

确保它在 TrimStrings::class、ConvertEmptyStringsToNull::class、ValidateSignature::class（如果用了 Laravel 自带签名）之前
不要放在 api middleware group 里靠后的位置；推荐单独定义一个 signed group，在 app/Http/Kernel.php 的 $middlewareGroups 里前置声明
如果用了 Sanctum 或 Passport，签名中间件必须在认证中间件之前——签名是第一道门，认证是第二道
本地开发用 Postman 测试时，记得关掉「Automatically add Authorization header」这类自动行为，它会污染 header