钉钉自定义机器人必须加签才能通过安全校验，timestamp需毫秒级整数，sign用HMAC-SHA256按"$timestamp $secret"计算并urlencode(base64_encode(...))，消息体中markdown的title仅纯文本显示于顶部，text才渲染markdown内容。
钉钉自定义机器人必须加签才能通过安全校验，不加签的请求会被直接拒绝——这是 2024 年起全量生效的强制策略，不是可选项。
为什么 curl 请求返回 {"errcode":310000,"errmsg":"invalid signature"}
这是最常见也最容易卡住的问题：你用了带 access_token 的 webhook 地址，但没带 timestamp 和 sign 参数。钉钉现在只接受「签名版」请求，旧的裸 token 方式已失效。
-
timestamp必须是毫秒级整数（time() * 1000），且与签名生成时用的完全一致 -
sign是用HMAC-SHA256算出来的，密钥是机器人后台设置的secret，原文是"$timestamp $secret" - 注意：
urlencode(base64_encode(...))缺一不可，漏掉urlencode就会 400 - 不要手动拼接 URL 查询参数后又用
curl_setopt($ch, CURLOPT_POSTFIELDS, ...)发空 body——签名必须体现在 URL 上，body 只管消息结构
sendDingMessage() 函数里 CURLOPT_SSL_VERIFYPEER 设为 false 的风险
开发调试时关 SSL 校验很香，但上线必须改回来。否则中间人攻击下，webhook 请求可能被劫持或伪造，导致告警被发到错误群、甚至泄露敏感字段（比如 access_token 或日志内容）。
- 生产环境应保持
CURLOPT_SSL_VERIFYPEER => true和CURLOPT_SSL_VERIFYHOST => 2 - 若遇到证书问题，优先更新系统 CA 证书包，而不是降级 curl 安全配置
- 钉钉域名
oapi.dingtalk.com的证书由 Aliyun 或 DigiCert 签发，主流 PHP 环境默认支持
发 markdown 消息时标题不显示？
钉钉对 markdown 类型要求严格：title 字段只在客户端顶部栏展示，且仅支持纯文本（不解析 markdown 语法），而正文 text 才真正渲染 markdown 内容。很多人把标题写进 text 里，结果发现顶部没标题、正文却多了一行“# 标题”，这就是字段错位。
立即学习“PHP免费学习笔记（深入）”；
- 正确结构：
{"msgtype":"markdown","markdown":{"title":"部署完成","text":"## ✅ 成功\n- 服务: <code>api-v2.3\n- 时间: `2026-05-06`"}} -
title最长 20 字符，超长会被截断；text支持有限子集（不支持表格、HTML、嵌套列表） - 如果
title为空或缺失，部分旧版钉钉客户端可能忽略整条消息
加签逻辑和消息体结构必须同步校验，少一个 urlencode、多一个空格、时间戳单位错成秒——都会让钉钉返回签名错误，且不会告诉你具体哪错了。
