最常见报错是401 Unauthorized伴随InvalidSignature或SignatureDoesNotMatch；主因是签名计算偏差，如时间戳未校验、X-Hub-Signature-256头错误、请求体被修改或canonicalized headers拼接顺序不一致。
AK/SK签名验证失败的常见报错是什么
最常遇到的是 401 Unauthorized 伴随错误信息 InvalidSignature 或 SignatureDoesNotMatch。这基本不是密钥错了，而是签名计算环节出了偏差——比如时间戳未校验、X-Hub-Signature-256 头没传对、请求体被框架自动修改（如 PHP 的 php://input 被读取过一次后为空）、或 canonicalized headers 拼接顺序不一致。
PHP里怎么正确生成和校验签名
核心是两端用完全相同的算法构造待签字符串（string to sign），再用 HMAC-SHA256 计算。服务端校验时必须复现客户端的全部步骤：
-
HTTP_METHOD全大写（如GET、POST） -
canonical_uri是 URL 解码后的路径，不带查询参数，且以/开头（如/v1/users） -
canonical_querystring需对所有 query 参数 key/value 分别rawurlencode，再按字典序排序拼接（a=1&b=2，不是b=2&a=1） -
canonical_headers只包含参与签名的 header（如host、x-date），key 小写，value 去首尾空格，多行用\n连接，末尾加一个换行 - 签名密钥不是原始 SK，而是用
sha256("HMAC-SHA256" + SK, "AWS4" + SK)逐层派生（类似 AWS v4，但可简化）
为什么不能直接用 $_POST 或 file_get_contents("php://input")
因为 $_POST 会自动解析并可能转义 body（尤其 application/x-www-form-urlencoded），而签名必须基于原始字节；file_get_contents("php://input") 在 Content-Type 为 multipart/form-data 时返回空——这是 PHP 的硬限制。正确做法是：
- 统一要求客户端发
application/json，用file_get_contents("php://input")读原始 payload - 若必须支持表单，改用
php://stdin（需确保 web server 未缓冲）或在 nginx 中配置client_body_buffer_size - 务必在读取前检查
$_SERVER['CONTENT_LENGTH'] > 0，避免空签名
时间戳校验为什么必须做且要宽松
签名中嵌入 X-Date（ISO8601 格式，如 20240520T081234Z）是为了防重放。服务端必须校验该时间与服务器当前时间差是否在合理窗口内（建议 ≤ 300 秒）。太严（如 ±5 秒）会导致客户端时钟稍有偏差就失败；太松（如 ±1 小时）则失去防重放意义。PHP 中可用：
立即学习“PHP免费学习笔记（深入）”；
strtotime($dateHeader) + 300 < time() || strtotime($dateHeader) - 300 > time()
注意：不要用 new DateTime($dateHeader)，它依赖时区设置，容易出错。
真正难调的不是签名逻辑本身，而是 header 名大小写、空格、换行、URL 编码层级这些“看不见的字符”。建议把待签字符串先 error_log() 出来，在客户端和服务端两边比对，一字不差才算过关。
