URL签名验证必须在Nginx层用ngx_http_secure_link_module完成，通过secure_link指令解析st/e参数，secure_link_md5基于$uri、过期时间与密钥生成预期签名，匹配失败返回403或410，关键需确保前后端路径一致、时间同步、密钥保密。
URL 签名验证必须在 Nginx 层完成，不能交给后端——否则签名校验前资源已暴露，失去意义。
rewrite 模块本身不支持 HMAC 计算，得靠 ngx_http_secure_link_module
很多人卡在这一步：试图用 rewrite + 正则提取时间戳和签名，再用 if 做逻辑判断。这是错的。rewrite 没有哈希能力，也无法安全比对签名。ngx_http_secure_link_module 是 Nginx 官方提供的轻量级签名验证模块，专为此类场景设计，且所有校验都在 C 层完成，无中间态泄露风险。
-
secure_link指令解析 URL 中的签名、过期时间（如/file.zip?st=xxx&e=1717027200） -
secure_link_md5用预设密钥 + 路径 + 过期时间生成服务端预期签名 - 匹配失败时，
$secure_link变量为空或0，可直接跳转或返回 403 - 该模块默认编译进大多数发行版 Nginx（包括 Ubuntu apt 包、CentOS yum 的 nginx-all-modules），无需额外安装
配置里最容易漏掉的两个关键点：secure_link_secret 和路径拼接逻辑
签名不是对完整 URL 做 MD5，而是对「路径 + 过期时间 + 密钥」三元组做 MD5。如果前端生成签名时用了 /download/file.zip，而 Nginx 配置中 location 匹配的是 /file.zip，就会校验失败——因为 secure_link_md5 默认使用 $uri（不含 query string 的请求路径），且不会自动补前缀。
- 确保前后端约定的原始路径完全一致，例如都用
/files/report.pdf，而不是前端签/report.pdf、Nginx 配置location /files/ { ... }却期望$uri是/files/report.pdf - 若必须做路径映射（如把带签名的请求代理到后端真实路径），用
secure_link提取参数后，改用set $real_path "/internal/files$uri";再配合alias或proxy_pass，不要依赖rewrite改写后再进secure_link -
secure_link_secret "my_secret_key_2024";必须全局唯一且保密，不能硬编码在公开配置中；生产环境建议通过 envsubst 或配置中心注入
签名 URL 生成示例（Python）和 Nginx 校验对应关系
前端或业务服务生成签名时，必须严格复现 Nginx 的计算逻辑，否则永远 403。核心是：MD5(path + expiration_time + secret) 的前 16 字节 Base64 URL-safe 编码（去掉 +、/、=）。
import hashlib
import base64
import time
<p>path = "/files/data.csv"
expiration = int(time.time()) + 3600 # 1h 后过期
secret = "my_secret_key_2024"</p><h1>注意：Nginx 内部用的是 MD5 的 raw bytes 前 16 字节，再 base64.urlsafe_b64encode</h1><p>m = hashlib.md5(f"{path}{expiration}{secret}".encode()).digest()[:16]
signature = base64.urlsafe_b64encode(m).decode().rstrip("=")</p><p>url = f"<a href="https://www.php.cn/link/874b9aebc97013be03fa5a55d9849832">https://www.php.cn/link/874b9aebc97013be03fa5a55d9849832</a>}"对应 Nginx 配置片段：
location /files/ {
secure_link $arg_st,$arg_e;
secure_link_md5 "$uri$arg_e my_secret_key_2024";
<pre class='brush:php;toolbar:false;'>if ($secure_link = "") {
return 403;
}
if ($secure_link = "0") {
return 410; # 过期
}
alias /var/www/private/;}
注意 $arg_st 和 $arg_e 是 Nginx 内置变量，分别对应 query string 中的 st 和 e 参数；$uri 是解码后的路径（如 /files/data.csv），不含 query string。
真正难调试的不是语法，而是时间偏移和路径归一化——服务器时钟不同步、URL 中含中文未 decode、location 的斜杠结尾是否匹配，都会让 $uri 和你预期的不一样。加一行 log_format debug '$uri | $arg_st | $arg_e | $secure_link'; 到 access log，比反复猜快得多。
