ThinkPHP5怎么写接口签名验证_ThinkPHP5写接口签名验证算法【安全】-ThinkPHP-PHP中文网

thinkphp5中间件执行顺序由app\http\middleware.php数组索引决定，签名验证必须置顶；input('param.')因自动过滤和编码导致验签失败，应改用$request->get()/post()手动合并并rawurlencode()编码后ksort排序拼接。

thinkphp5怎么写接口签名验证_thinkphp5写接口签名验证算法【安全】

必须放在中间件里，不能在控制器里做——ThinkPHP5 没有内置中间件执行顺序控制，但你得手动在 app\http\middleware.php 里把签名验证中间件放到最前面，否则路由匹配、参数解析、甚至日志记录都可能先于验签执行。

ThinkPHP5 的 input('param.') 会自动合并 GET/POST/ROUTE 参数，并触发默认过滤（比如把空格转 +、对值做 urldecode()），而客户端签名时用的是原始请求字符串字节流。两者不一致，md5() 或 hash_hmac() 必然不等。

改用 $request->get() 和 $request->post() 分开取参，再用 array_merge() 合并
手动剔除 sign、sign_version 等签名相关字段，别依赖 unset($param['sign']) 后再排序——万一它根本不在 param 里呢？
所有参数值必须过一遍 rawurlencode()（不是 urlencode()），尤其含中文、空格、&、= 的值
拼接前必须 ksort()，http_build_query() 默认不保序，不能直接用

客户端和服务端只要有一处顺序或编码不一致，签名就失效。ThinkPHP5 没有自动处理路径参与签名的逻辑，得你自己加。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

签名原文 = $request->url(true)（不含域名的路径，如 /api/user） + & + 按 key 字典序排列的参数（k1=v1&k2=v2） + &timestamp=xxx&nonce=yyy&sign_version=2 + &app_secret=xxx
sign_version 必须参与拼接，且必须从 $request->param('sign_version', '1') 显式获取，不能靠 input() 自动兜底
时间戳校验用 abs(time() - (int)$params['timestamp']) > 300，别用 $_SERVER['REQUEST_TIME']——Nginx + PHP-FPM 场景下它可能滞后
nonce 去重必须走 Redis：SETEX sign:nonce:{$app_id}:{$nonce} 300 1，失败直接 return 401

ThinkPHP5 默认不打中间态日志，线上一报 Invalid signature 就只能猜。调试阶段必须临时打开关键输出，但上线前得删干净或用 env('APP_DEBUG') 包裹。

在中间件里加一行：Log::debug('sign_raw', ['raw' => $rawString, 'hmac' => hash_hmac('sha256', $rawString, $secret), 'client_sign' => $clientSign]);
不要记录完整 $rawString 到生产日志（含敏感参数），但可以记 md5($rawString) 和 substr($clientSign, 0, 8)
如果用的是旧版 MD5 算法，注意 strtoupper(md5(...)) 是必须的，新版 HMAC 不需要转大写
密钥长度低于 32 字节时，hash_hmac('sha256', ...) 实际安全性会下降，建议用 random_bytes(32) 生成