答案：通过参数排序、拼接并结合密钥使用HMAC-SHA256加密生成签名，服务端重新计算比对签名以验证请求完整性，确保接口防篡改。
在开发Web接口时，确保请求参数不被篡改是保障系统安全的重要环节。PHP中常用的方式是通过签名（Signature）机制来验证请求的完整性。该机制基于参数排序和加密算法，服务端对接收到的参数重新计算签名，并与客户端传来的签名比对，从而判断参数是否被修改。
签名机制的基本原理
签名的核心思想是：客户端和服务端约定一种签名算法，客户端在发起请求时，将所有参数按规则排序后拼接，再结合密钥进行加密生成签名，附带在请求中。服务端收到请求后，使用相同逻辑重新生成签名，并与传入的签名对比，一致则认为请求合法。
关键点包括：
- 参数排序：将所有请求参数（除签名本身）按字段名升序排列，避免因顺序不同导致签名不一致。
- 拼接字符串：将排序后的参数以“key=value”形式连接，通常用“&”分隔。
- 密钥参与加密：使用双方共享的密钥（secretKey）参与加密过程，如拼接后再进行哈希。
- 使用安全哈希算法：推荐使用 SHA256 或 HMAC-SHA256，避免 MD5 或 SHA1 等弱算法。
具体实现步骤
以下是一个简单的 PHP 实现示例：
立即学习“PHP免费学习笔记（深入）”；
dmap-jsapi-skill
下载
DMap GL地图JSAPI（dmapgl）开发指南。用于编写、审查、调试 DMap 地图 API 代码，涵盖地图初始化、覆盖物渲染、图层管理、事件处理、控件交互等任务。当用户提及 dmap、dmapgl、jsapi‑gl 或相关地图开发需求时自动触发。
function generateSign($params, $secretKey) {
// 过滤空值、签名字段
$filtered = array_filter($params, function($k) {
return $k !== 'sign';
}, ARRAY_FILTER_USE_KEY);
// 参数名升序排序
ksort($filtered);
// 拼接为 key1=value1&key2=value2 格式
$query = http_build_query($filtered);
// 使用 HMAC-SHA256 加密，更安全
$sign = hash_hmac('sha256', $query, $secretKey);
return strtolower($sign);
}
服务端验证签名示例：
// 假设接收到的参数为 $_POST 或 $_GET$receivedParams = $_GET; // 或 json_decode(file_get_contents('php://input'), true)
$providedSign = $receivedParams['sign'] ?? '';
$secretKey = 'your_secret_key_here'; // 应从配置文件读取
// 重新生成签名
$expectedSign = generateSign($receivedParams, $secretKey);
if ($providedSign === $expectedSign) {
echo "签名验证通过，参数未被篡改";
} else {
http_response_code(403);
echo "签名验证失败，请求非法";
}
增强安全性的建议
为了进一步提升安全性，可采取以下措施：
- 加入时间戳：客户端发送请求时带上 timestamp 参数，服务端校验时间差（如5分钟内有效），防止重放攻击。
- 使用随机数（nonce）：每次请求生成唯一随机字符串，服务端记录已使用的 nonce，避免重复提交。
- HTTPS 传输：确保整个请求走 HTTPS，防止中间人窃取密钥或签名。
- 密钥不外泄：secretKey 只保存在服务端和可信客户端，不可硬编码在前端 JS 中。
常见问题与注意事项
实际应用中需注意：
- 中文参数需统一编码方式（如 UTF-8），避免前后端编码不一致导致签名失败。
- 数组参数需规范处理，如 a[0]=1&a[1]=2，排序时按键名处理。
- GET 和 POST 都适用此机制，关键是统一参数提取方式。
- 日志中不要打印完整签名或密钥，防止信息泄露。
基本上就这些。只要保证参数排序、加密方式、密钥管理一致，签名机制就能有效防止接口参数被篡改。虽然实现不复杂，但细节容易出错，务必测试充分。
