如何利用ThinkPHP实现API接口的防重放攻击【安全】-ThinkPHP-PHP中文网

验签必须放在中间件里，不能在控制器中实现；因为中间件是thinkphp请求生命周期中唯一能在路由匹配、参数解析和控制器实例化前介入的环节，若在控制器验签，非法请求已触发日志、数据库查询或敏感操作，失去第一道防线意义。

如何利用thinkphp实现api接口的防重放攻击【安全】

验签必须放在中间件里，不能在控制器里写

ThinkPHP 的请求生命周期中，中间件是唯一能在路由匹配、参数解析、控制器实例化之前介入的环节。一旦进到控制器，$_POST 和 $_GET 已被合并，$request->param() 已自动解码，甚至模型查询都可能触发——攻击者靠一次非法请求就能刷出错误日志、耗尽数据库连接、或执行敏感操作。

常见错误包括：把验签逻辑写在控制器方法开头、或塞进验证器规则里（比如 'sign' => 'require|check_sign'），结果非法请求已打日志、查了库、发了短信才被拦下。

必须在 app/middleware.php 中注册中间件，且确保它排在 ValidateRequest 之后、但远在所有业务中间件和控制器之前
若注册位置靠后（比如放在跨域中间件或日志中间件之后），非法请求的 Origin 头可能被绕过，或错误日志已落盘
中间件里要用 $request->getRawBody() 一次性读取原始请求体，避免后续业务拿不到 JSON 数据

签名原文必须包含 timestamp、nonce 和全部业务参数

只对固定字段签名，或漏掉 timestamp / nonce，等于把防重放的钥匙交给攻击者。签名不是可选项，而是唯一可信锚点。

客户端和服务端拼出的字符串必须完全一致，否则 hash_hmac('sha256', $data_string, $secret_key) 必然不匹配。90% 的 Signature not match 错误源于参数没对齐。

统一用 $request->getInput() 读原始体，再按 Content-Type 分流解析：application/json 用 json_decode($input, true)，其余用 parse_str($input, $params)
显式合并 URL 参数：array_merge($request->get(), $params)，防止 GET+POST 混合时丢失
剔除 sign、signature、timestamp、nonce 等字段后，对剩余参数 ksort($params) 升序排列
每个键值对单独 rawurlencode() 编码，拼成 k1=v1&k2=v2&... 格式，末尾不加 &，最后追加 rawurlencode($secretKey)

Redis 存 nonce 必须用原子操作 SET + EX，不能分两步

高并发下，redis_set("nonce:{$nonce}", 1); redis_expire("nonce:{$nonce}", 300); 会漏判：两个请求几乎同时进来，都成功写入 key，但只有第一个能设 TTL，第二个覆盖了过期时间，导致去重失效。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

真正安全的做法是利用 Redis 的原子性指令，确保“写入成功 = 首次使用 + 自动过期”一步到位。

用 $redis->set($nonce, '1', ['nx', 'ex' => 300])，其中 nx 表示仅当 key 不存在时设置，ex 绑定 300 秒生命周期
key 命名建议带 app_id 隔离：nonce:{app_id}:{nonce}，避免多租户冲突
绝对不要用数据库或 Session 存 nonce——前者延迟高、易锁表，后者跨机器不共享
nonce 必须参与签名原文计算，否则攻击者可替换它而不影响签名