PHP接口签名验证的核心是通过参数、密钥和时间戳生成唯一签名，服务端严格按验时间→拆参数→算签名→对签名四步校验，结合时间窗口防重放、独立app_id限流及HTTPS传输等加固措施保障安全。
PHP接口签名验证的核心，是让每次请求都携带一个“临时身份证”——这个身份证由请求参数、密钥和时间戳共同生成，服务端用同样逻辑重新计算并比对。只要任意一项被篡改（比如时间被拖长、参数被加减、密钥不对），签名立刻失效，请求就被拒绝。
签名生成规则要前后一致
客户端和服务端必须使用完全相同的签名算法，常见做法是：
- 将所有请求参数（除red">sign和timestamp外）按字段名升序排列
- 拼成key1=value1&key2=value2格式的字符串（不带空格、不URL编码）
- 在字符串末尾追加约定好的私有密钥（如my_secret_key）
- 对整个字符串做sha256或md5哈希（推荐sha256）
- 把结果转为小写十六进制字符串，作为sign值传给接口
时间戳校验防止重放攻击
签名不是一劳永逸的。服务端必须检查timestamp是否在合理窗口内（比如±300秒），超时即拒收。这样即使攻击者截获一次合法请求，也无法在5分钟后重发生效。
- 客户端发送前用time()生成当前时间戳
- 服务端收到后立即用time()对比，差值取绝对值
- 建议同步服务器时间（如用ntpdate），避免因时钟偏差误杀正常请求
服务端验证流程不能跳步
收到请求后，服务端要严格按顺序执行三步：验时间 → 拆参数 → 算签名 → 对签名。任何一步失败都直接返回错误，不继续处理。
立即学习“PHP免费学习笔记（深入）”；
- 先检查是否有timestamp和sign，缺一不可
- 过滤掉sign和timestamp，剩下参数参与签名计算
- 注意GET和POST参数要合并处理（如用array_merge($_GET, $_POST)），但需排除文件上传等非标参数
- 最终比对时区分大小写，建议统一转小写再比较
额外加固建议
签名只是基础，实际项目中可叠加几层简单防护：
- 给每个调用方分配独立app_id，绑定密钥，便于限流和溯源
- 限制单IP单位时间请求数，用Redis记录频次（如incr api:rate:192.168.1.100）
- 敏感接口强制HTTPS，避免签名明文暴露在HTTP包里
- 日志记录每次验签结果（成功/失败/原因），方便排查问题
基本上就这些。不复杂但容易忽略细节，比如参数排序漏字段、时间戳没校验、密钥硬编码在前端——这些都会让签名形同虚设。
