验签必须放在控制器方法最前端，不能在构造函数中执行；需先提取并按ASCII升序排列参数，对键值分别rawurlencode后拼接，再与密钥组合并用HMAC-SHA256或MD5生成签名。
CodeIgniter本身不内置签名验证逻辑，必须手动实现，且验签环节必须放在控制器方法最前端——否则攻击者可能绕过校验直接操作业务数据。
验签逻辑该放在控制器哪个位置
必须在控制器方法开头、任何业务处理之前执行，不能依赖构造函数，因为构造函数中拿不到完整的请求参数（$this->input->get()、$this->input->post()、$this->input->raw_input_stream等需在方法内调用）。
- 错误做法：在
__construct()里尝试读取参数，此时$this->input尚未完全初始化，部分参数不可用 - 正确做法：每个需要验签的API方法第一行调用统一验签函数，如
$this->verify_signature() - 若用过滤器（Filter），注意CodeIgniter 4的Filter在控制器构造之后、方法执行之前运行，可作为备选，但需确保能访问全部请求数据（GET/POST/HEADERS/RAW）
签名字符串拼接顺序和编码怎么处理
多数第三方API（微信、支付宝、腾讯云等）要求参数按ASCII升序排列后拼接，且所有值必须UTF-8 URL编码，顺序错或漏编码就会导致sign不匹配。
- 提取全部参与签名的参数：包括
accesskey、timestamp、nonce、所有业务参数（排除sign本身） - 过滤空值：跳过值为
null、''、[]的参数 - 排序：用
ksort()对键名做字典序升序，不是按传入顺序 - 编码：对每个键和值分别调用
rawurlencode()（不是urlencode()），再拼成key1=value1&key2=value2格式 - 追加密钥：
$string_to_sign . '&secretkey=' . rawurlencode($secret_key)，注意secretkey是小写字段名
HMAC-SHA256和MD5签名怎么选算法
看服务端文档要求，不能自行猜测。微信用HMAC-SHA256，部分老系统用MD5，两者输出长度、大小写、是否Base64都不同，混用必失败。
-
HMAC-SHA256示例：hash_hmac('sha256', $string_to_sign, $secret_key, true)→ 再base64_encode()（有些API要，有些不要） -
MD5示例：strtoupper(md5($string_to_sign))，注意末尾不加&secretkey=xxx的写法已过时，当前主流都要求密钥参与拼接 - 调试时把
$string_to_sign和$secret_key全打日志，和服务端输出比对，这是定位签名失败最快的方式
时间戳和nonce怎么防重放
光有签名不够，必须限制timestamp有效期并缓存nonce，否则攻击者截获一次合法请求就能无限重放。
-
timestamp校验：用abs(time() - (int)$timestamp) > 300判断是否超5分钟，单位必须是秒（不是毫秒） -
nonce去重：存到Redis或数据库，设置TTL略大于时间窗口（如310秒），插入前先GET查是否存在；避免用文件存储，高并发下会锁死 - 别忽略时区：CodeIgniter默认时区可能和API服务商不一致，统一用UTC时间戳（
time()返回的就是UTC秒数，无需转换）
最容易被忽略的是签名字符串中参数值的URL编码细节——比如中文用rawurlencode()生成%E4%B8%AD，而urlencode()会变成%C3%A4%C2%B8%C2%AD，后者会导致签名恒定失败，且错误现象毫无提示，只能靠打印原始拼接串逐字符比对。
