如何利用ThinkPHP实现API接口签名验证机制【安全】-ThinkPHP-PHP中文网

签名验证必须放在中间件而非控制器中，因控制器执行时请求已进入业务层，验签失效；需统一提取原始参数、归一化处理、严格按客户端逻辑拼串并校验，密钥须按子域名隔离管理。

如何利用thinkphp实现api接口签名验证机制【安全】

控制器执行时，路由已匹配、参数已解析、日志可能已写入，甚至数据库操作都已触发——验签放在这里等于门锁装在屋子里。中间件是请求进入业务逻辑前的唯一可控拦截点。

常见错误现象：Invalid signature 但参数看起来完全一致，根源往往是控制器里用了 $this->request->param()：它会自动 urldecode()、过滤空格、转义特殊字符，而客户端签名用的是原始 URL 编码字节流，哈希值天然不等。

新建中间件 app/middleware/ApiSignVerify.php，在 app/middleware.php 中注册，位置应排在 ValidateRequest 之后、业务中间件之前
中间件 handle() 方法开头就调用验签逻辑，失败直接 return json(['code'=>401, 'msg'=>'Unauthorized'], 401)，不放行
别在中间件里调用 $request->get() 或 $request->post() 分开取参——顺序和编码不可控，统一走原始输入流处理

不同请求方式参数藏的位置不同：GET 在 query string，POST form 在 body，JSON 在 raw input。不统一提取，必然漏字段或重复拼接。

服务端构造签名原文时，必须还原客户端原始拼串逻辑。90% 验签失败源于这里没对齐。

先用 $request->getInput() 读取原始输入流（php://input）
判断 $request->header('content-type') 是否含 application/json：是则 json_decode($raw, true)；否则用 parse_str($raw, $body)
显式合并：array_merge($request->get(), $body)，确保 query + body 全覆盖
对每个值做 trim() 和 str_replace(["\r", "\n"], '', $v)，清除隐藏字符和 BOM
剔除 sign、signature、nonce、timestamp 等非业务字段前，确认它们真实存在于数组中（避免 unset() 报 Notice）

客户端和服务端拼出来的字符串哪怕只差一个空格或编码方式不同，hash_hmac('sha256', ...) 结果就完全不同。路径、参数顺序、编码、密钥接入方式，缺一不可。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

典型错误：用 http_build_query() 拼参但没指定 PHP_QUERY_RFC3986，导致空格编码成 + 而不是 %20；或对整个数组 rawurlencode()，而不是对每个 $k 和 $v 单独编码。

所有业务共用一个密钥，等于把所有房门钥匙焊死在同一把锁上。一旦泄露，全线沦陷。ThinkPHP 本身不提供密钥轮换机制，得靠配置和路由结构实现物理隔离。

二级域名不只是“换个地址”，它是独立安全上下文的载体——api.example.com 和 pay.example.com 应该加载完全不同的密钥、限流策略和验签中间件。

在 config/app.php 开启 'url_domain_deploy' => true，Nginx/Apache 必须透传 Host 头
路由中显式注册子域名：Route::domain('api.example.com', function () { /* API 路由 */ });
密钥存独立配置文件（如 config/api_sign.php），禁止 Web 直接访问；或按子域名建 config/api.api.example.com.php
中间件内通过 $request->host() 提取子域名，动态加载：Config::get('api.sign_key_' . str_replace('.', '_', $host))
nonce 去重必须用 Redis 的原子操作：cache()->handler()->setNx("sign:nonce:{$nonce}", 1, 300)，不能依赖 session 或本地缓存