URL签名验证必须在Nginx层用ngx_http_secure_link_module完成，通过secure_link指令解析st/e参数，secure_link_md5基于$uri、过期时间与密钥生成预期签名，匹配失败返回403或410，关键需确保前后端路径一致、时间同步、密钥保密。
URL 签名验证必须在 Nginx 层完成，不能交给后端——否则签名校验前资源已暴露，失去意义。
rewrite 模块本身不支持 HMAC 计算，得靠 ngx_http_secure_link_module
很多人卡在这一步：试图用 rewrite + 正则提取时间戳和签名，再用 if 做逻辑判断。这是错的。rewrite 没有哈希能力，也无法安全比对签名。ngx_http_secure_link_module 是 Nginx 官方提供的轻量级签名验证模块，专为此类场景设计，且所有校验都在 C 层完成，无中间态泄露风险。
-
secure_link指令解析 URL 中的签名、过期时间（如/file.zip?st=xxx&e=1717027200） -
secure_link_md5用预设密钥 + 路径 + 过期时间生成服务端预期签名 - 匹配失败时，
$secure_link变量为空或0，可直接跳转或返回 403 - 该模块默认编译进大多数发行版 Nginx（包括 Ubuntu apt 包、CentOS yum 的 nginx-all-modules），无需额外安装
配置里最容易漏掉的两个关键点：secure_link_secret 和路径拼接逻辑
签名不是对完整 URL 做 MD5，而是对「路径 + 过期时间 + 密钥」三元组做 MD5。如果前端生成签名时用了 /download/file.zip，而 Nginx 配置中 location 匹配的是 /file.zip，就会校验失败——因为 secure_link_md5 默认使用 $uri（不含 query string 的请求路径），且不会自动补前缀。
- 确保前后端约定的原始路径完全一致，例如都用
/files/report.pdf，而不是前端签/report.pdf、Nginx 配置location /files/ { ... }却期望$uri是/files/report.pdf - 若必须做路径映射（如把带签名的请求代理到后端真实路径），用
secure_link提取参数后，改用set $real_path "/internal/files$uri";再配合alias或proxy_pass，不要依赖rewrite改写后再进secure_link -
secure_link_secret "my_secret_key_2024";必须全局唯一且保密，不能硬编码在公开配置中；生产环境建议通过 envsubst 或配置中心注入
签名 URL 生成示例（Python）和 Nginx 校验对应关系
前端或业务服务生成签名时，必须严格复现 Nginx 的计算逻辑，否则永远 403。核心是：MD5(path + expiration_time + secret) 的前 16 字节 Base64 URL-safe 编码（去掉 +、/、=）。
import hashlib
import base64
import time
<p>path = "/files/data.csv"
expiration = int(time.time()) + 3600 # 1h 后过期
secret = "my_secret_key_2024"</p><h1>注意：Nginx 内部用的是 MD5 的 raw bytes 前 16 字节，再 base64.urlsafe_b64encode</h1><p>m = hashlib.md5(f"{path}{expiration}{secret}".encode()).digest()[:16]
signature = base64.urlsafe_b64encode(m).decode().rstrip("=")</p><p>url = f"<a href="https://www.php.cn/link/874b9aebc97013be03fa5a55d9849832">https://www.php.cn/link/874b9aebc97013be03fa5a55d9849832</a>}"</p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting"><img
src="https://img.php.cn/upload/skill/000/000/081/179116929868126.jpg" alt="Nginx Hosting" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="overflowclass">Nginx Hosting</a>
<p class="overflowclass">通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。</p>
</div>
<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div>
对应 Nginx 配置片段：
location /files/ {
secure_link $arg_st,$arg_e;
secure_link_md5 "$uri$arg_e my_secret_key_2024";
<pre class="brush:php;toolbar:false;">if ($secure_link = "") {
return 403;
}
if ($secure_link = "0") {
return 410; # 过期
}
alias /var/www/private/;
}
注意 $arg_st 和 $arg_e 是 Nginx 内置变量，分别对应 query string 中的 st 和 e 参数；$uri 是解码后的路径（如 /files/data.csv），不含 query string。
真正难调试的不是语法，而是时间偏移和路径归一化——服务器时钟不同步、URL 中含中文未 decode、location 的斜杠结尾是否匹配，都会让 $uri 和你预期的不一样。加一行 log_format debug '$uri | $arg_st | $arg_e | $secure_link'; 到 access log，比反复猜快得多。
