PHP写接口怎么实现简单的数据摘要-php教程-PHP中文网

php接口用hash_hmac('sha256', $data, $_env['api_secret'])生成安全摘要最稳妥，需参数升序排序、过滤空值、恒定时间校验、timestamp时效验证及密钥安全管控。

php写接口怎么实现简单的数据摘要

直接用 md5() 或 sha1() 拼接字符串做摘要，等于把签名逻辑暴露在请求里，攻击者重放或篡改参数后能轻松伪造。必须用带密钥的 HMAC 算法，hash_hmac() 是 PHP 原生支持、无需扩展、抗长度扩展攻击的标准选择。

常见错误是把密钥硬编码在接口文件里，或者用时间戳、用户 ID 这类可预测值当密钥 —— 这会让摘要失去防篡改意义。密钥应从环境变量或配置中心读取，且长度建议 ≥32 字节。

hash_hmac('sha256', $data_string, $_ENV['API_SECRET'])：固定用 sha256，别用 md5 或 sha1，后者已被证实不安全
拼接 $data_string 时按字段名升序排序（如 api_key=xxx&timestamp=171…&user_id=123），避免因参数顺序不同导致摘要不一致
务必过滤空值参数 —— array_filter($_GET, 'strlen')，否则 foo=&bar=1 和 foo=bar=1 可能被误判为相同输入

服务端不能只比对 $_GET['sign'] === hash_hmac(...)，这会触发时序攻击。要用 hash_equals() 做恒定时间比较，哪怕传入的 sign 是错的，响应耗时也保持一致。

还要检查 timestamp 是否超时（比如 > 300 秒），否则重放攻击就白防了。别用 time() 直接减 —— 如果服务器和客户端时钟偏差大，会导致正常请求被拒。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

先校验必要参数是否存在：isset($_GET['sign'], $_GET['timestamp'], $_GET['api_key'])
用 abs((int)$_GET['timestamp'] - time()) 控制时间窗，比 <code>time() - $_GET['timestamp'] > 300 更容错
验证通过前，禁止从 $_GET 中提取任何业务数据 —— 防止脏数据进入后续逻辑

很多人卡在这儿：前端传的是 Content-Type: application/json，但 $_GET 为空，$_POST 也是空。得手动读原始输入流，再解析成数组排序拼串。

注意 php://input 只能读一次，且不能和 $_POST 混用。如果框架自动解析了 JSON 到某个变量，就直接用那个变量，别重复读流。

用 $raw = file_get_contents('php://input'); 获取原始 body，再 $data = json_decode($raw, true);
确保 $data 是关联数组（json_decode(..., true)），否则 ksort() 无效
拼串前用 http_build_query($data, '', '&', PHP_QUERY_RFC3986)，强制使用 RFC3986 编码规则，和前端保持一致

前后端摘要不一致，90% 是因为字段排序、空值处理、编码方式或密钥不一致。别靠猜，把服务端拼出的 $data_string 和计算出的 $sign 打日志（脱敏后），和前端 log 对着看。

别在生产环境开 error_log() 输出完整签名，密钥泄露就全完了。调试阶段可在测试环境加个临时开关，比如请求带 debug=1 且来源 IP 是内网才输出。

日志里只记 substr($sign, 0, 8) . '...' . substr($sign, -8)，避免密钥旁路泄露
用 urlencode() 包裹所有参与拼串的 value，尤其注意中文、+、/、= 这些字符在不同语言里编码结果可能不同
如果用 Nginx 做反向代理，确认没开启 underscores_in_headers on —— 它会让 X-Sign 这种 header 变成 x_sign，导致取不到值