最常见报错是401 unauthorized伴随invalidsignature或signaturedoesnotmatch；主因是签名计算偏差，如时间戳未校验、x-hub-signature-256头错误、请求体被修改或canonicalized headers拼接顺序不一致。

AK/SK签名验证失败的常见报错是什么

最常遇到的是 401 Unauthorized 伴随错误信息 InvalidSignature 或 SignatureDoesNotMatch。这基本不是密钥错了，而是签名计算环节出了偏差——比如时间戳未校验、X-Hub-Signature-256 头没传对、请求体被框架自动修改（如 PHP 的 php://input 被读取过一次后为空）、或 canonicalized headers 拼接顺序不一致。

PHP里怎么正确生成和校验签名

核心是两端用完全相同的算法构造待签字符串（string to sign），再用 HMAC-SHA256 计算。服务端校验时必须复现客户端的全部步骤：

• HTTP_METHOD 全大写（如 GET、POST）
• canonical_uri 是 URL 解码后的路径，不带查询参数，且以 / 开头（如 /v1/users）
• canonical_querystring 需对所有 query 参数 key/value 分别 rawurlencode，再按字典序排序拼接（a=1&b=2，不是 b=2&a=1）
• canonical_headers 只包含参与签名的 header（如 host、x-date），key 小写，value 去首尾空格，多行用 \n 连接，末尾加一个换行
• 签名密钥不是原始 SK，而是用 sha256("HMAC-SHA256" + SK, "AWS4" + SK) 逐层派生（类似 AWS v4，但可简化）

为什么不能直接用 $_POST 或 file_get_contents("php://input")

因为 $_POST 会自动解析并可能转义 body（尤其 application/x-www-form-urlencoded），而签名必须基于原始字节；file_get_contents("php://input") 在 Content-Type 为 multipart/form-data 时返回空——这是 PHP 的硬限制。正确做法是：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• 统一要求客户端发 application/json，用 file_get_contents("php://input") 读原始 payload
• 若必须支持表单，改用 php://stdin（需确保 web server 未缓冲）或在 nginx 中配置 client_body_buffer_size
• 务必在读取前检查 $_SERVER['CONTENT_LENGTH'] > 0，避免空签名

时间戳校验为什么必须做且要宽松

签名中嵌入 X-Date（ISO8601 格式，如 20240520T081234Z）是为了防重放。服务端必须校验该时间与服务器当前时间差是否在合理窗口内（建议 ≤ 300 秒）。太严（如 ±5 秒）会导致客户端时钟稍有偏差就失败；太松（如 ±1 小时）则失去防重放意义。PHP 中可用：

strtotime($dateHeader) + 300  time()

注意：不要用 new DateTime($dateHeader)，它依赖时区设置，容易出错。

真正难调的不是签名逻辑本身，而是 header 名大小写、空格、换行、URL 编码层级这些“看不见的字符”。建议把待签字符串先 error_log() 出来，在客户端和服务端两边比对，一字不差才算过关。

大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！