签名验证应统一在中间件中处理，避免分散在控制器；采用 hmac_sha256 算法，严格校验 timestamp 时效性、nonce 去重及参数字典序排序，并兼容 get/post/json 请求体参数提取。
签名验证该放在哪里做
ThinkPHP 的接口签名验证不适合写在每个控制器方法里，应该统一拦截处理。推荐用中间件（Middleware）或全局 app\common\behavior\CheckSign 行为（TP6+ 更倾向中间件）。中间件能天然拿到请求参数、Header 和时间戳，也方便统一返回错误响应。
别把签名逻辑塞进模型或服务层——它属于请求入口校验，和业务无关。也不建议用路由绑定方式，因为容易漏掉动态路由或 API 分组外的接口。
签名算法怎么写才安全可靠
标准做法是：客户端按约定顺序拼接参数（排除 sign、timestamp、nonce 等字段），加上密钥后做 sha256 或 hmac_sha256，再转小写。服务端重复该过程比对。
-
timestamp必须校验时效性（如 ±5 分钟），防止重放攻击 -
nonce（随机字符串）需存入 Redis 做 5 分钟去重，避免同一签名被重复提交 - 参数排序必须严格：按 key 字典序升序，且 key 和 value 都要 URL 解码后再拼接（否则前端 encode 两次会导致服务端解不出）
- 密钥不能硬编码在代码里，应从配置（
config/sign.php）或环境变量读取
示例关键片段：
$params = array_filter($request->param(), function($k) {
return !in_array($k, ['sign', 'timestamp', 'nonce']);
}, ARRAY_FILTER_USE_KEY);
ksort($params);
$stringToSign = http_build_query($params) . '×tamp=' . $timestamp . '&nonce=' . $nonce;
$expectedSign = strtolower(hash_hmac('sha256', $stringToSign, Config::get('sign.secret')));
如何兼容 GET/POST/JSON 请求体
ThinkPHP 默认的 $request->param() 对 JSON 请求体不自动解析，会漏掉 body 数据，导致签名比对失败。
- GET 请求：用
$request->param()即可 - POST 表单：同样用
$request->param() - JSON 请求：必须先调用
$request->getContent()，然后json_decode($content, true)，再和 query 参数合并（注意不要覆盖同名 key）
更稳妥的做法是统一提取原始参数源：
$rawParams = [];
if ($request->isPost() && $request->header('content-type') === 'application/json') {
$rawParams = json_decode($request->getContent(), true) ?: [];
} else {
$rawParams = $request->param();
}
常见报错和绕过陷阱
签名失败时，别急着改算法——90% 是参数提取或编码不一致导致的。
- 错误信息
Invalid signature：大概率是客户端和服务端参数排序逻辑不同，或一方用了 raw POST data 另一方用了$_POST - 测试时用 Postman 成功、但 App 调用失败：检查 App 是否自动添加了
User-Agent或其他 header 并误参与了签名（签名应只含业务参数 + timestamp/nonce） - HTTPS 下获取不到
HTTP_X_FORWARDED_PROTO导致 URL 拼错：签名一般不依赖 URL，但如果业务要求带 path 校验，需统一用$request->url(true)并确保反代透传 header - Redis 连接失败导致 nonce 去重失效：要加 try/catch，降级为仅时间戳校验（不推荐长期使用）
最易被忽略的一点：前端 JS 生成签名时，new Date().getTime() 返回毫秒时间戳，而后端 PHP 的 time() 是秒级——必须统一为秒，否则永远验不过。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
