ThinkPHP接口签名算法教程-ThinkPHP-PHP中文网

thinkphp需自行实现接口签名验证，必须在中间件中严格按字典序排序、rawurlencode编码参数，统一校验timestamp（±300秒）与nonce（redis去重），支持多密钥并行验证且key长度≥32字节。

thinkphp接口签名算法教程

ThinkPHP 本身不提供开箱即用的接口签名验证逻辑，所谓“支持签名”全是开发者自己封装的；你必须重写 verifySign 方法，且服务端与客户端的参数排序、URL 编码、拼接顺序、密钥使用必须完全一致，否则验签必失败。

为什么 `http_build_query` 不能直接拼签名串

它默认不排序，也不保证 value 的 URL 编码行为和客户端一致（比如空格、中文、+ 号处理）。$request->param() 更危险——它会自动合并 GET/POST/Route 参数，还可能把 "0" 转成整数 0，或把 null 变成空字符串，导致签名原文不一致。

必须先用 ksort() 对参数数组按键名做字典序排序
所有 value 必须显式 rawurlencode()（不是 urlencode()），且保持原始字符串形态：(string)$val 强转一次
GET 参数用 $request->get()，POST 用 $request->post()，JSON Body 要用 file_get_contents('php://input') 拿原始字节再 json_decode(, true)
拼接格式固定为 k1=v1&k2=v2&key=xxx，注意 & 是字面量，不是 HTML 实体

签名验证必须放在中间件里

控制器里做校验等于把门锁装在屋子里——请求已经进来了，恶意数据可能已触发业务逻辑或写入数据库。app/middleware/SignCheckMiddleware.php 是唯一合理位置。ThinkPHP 6+ 的中间件支持 beforeAction 钩子，能拦截所有带 sign 参数的接口请求。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

中间件中需提前终止请求：return json(['code'=>401,'msg'=>'Unauthorized'])->send();exit;
别在中间件里调用 $request->post() 或 $request->get() 分开取，会导致参数顺序/编码不一致
若接口支持 JSON 请求体，得先判断 $request->header('content-type') 是否含 application/json，再用 $request->getContent() 解析原始数据并排序拼接
所有参与签名的字段必须固定、可重现、不可篡改：剔除 sign、signature、sign_type 等签名相关字段，避免循环依赖

如何安全校验 `timestamp` 和 `nonce`

只比对签名正确性远远不够。攻击者截获一个合法请求，改个金额重放，只要签名没变，你就认。

timestamp 必须是秒级 Unix 时间戳，服务端用 time() 对比，偏差超过 ±300 秒直接拒绝
nonce 必须存 Redis，key 形如 "nonce:{$app_id}:{$nonce}"，TTL 设为 300 秒；查不到或已存在就拒掉
连续 5 次验签失败，按 app_id 或 IP 做 Redis 计数限流，TTL 60 秒
验签失败时一律返回 HTTP 状态码 401 + 统一 JSON：{"code":401,"msg":"Unauthorized"}，不暴露具体哪一步失败

多密钥轮换必须并行校验，不能硬切

签名验证失败但旧接口还能用，怎么让新密钥上线不中断？必须允许同一套验证逻辑同时接受新旧两套密钥签发的签名，否则切换当天必然出现大量 invalid signature 报错。

不要在中间件里硬编码单个 $secretKey，改用数组 $secretKeys = ['v2' => 'xxx', 'v1' => 'yyy'] 管理
通过请求头 X-Sign-Version: v2 标识版本，没传则默认走旧密钥兼容路径
验签函数里别写 return false 就结束，要改成 continue 进入下一轮密钥尝试
时间戳校验必须统一：所有密钥共用同一个 $timestamp 和有效期窗口（比如 5 分钟），不能让旧密钥放宽、新密钥收紧
一旦任一密钥验签成功，立即记录日志："sign_version=v2, client_ip=1.2.3.4, uri=/api/order"，方便灰度观察