Token验证识别用户身份，API签名防止参数篡改；二者协同实现防未授权访问、重放攻击与参数伪造。
PHP搭建APP接口时，Token验证和API签名是保障通信安全的两大核心手段：Token解决“谁在调用”，签名解决“请求没被篡改”。两者配合使用，才能有效防止未授权访问、重放攻击和参数伪造。
Token令牌验证：识别合法用户身份
Token通常指服务端签发的短期有效的凭证（如JWT或自定义字符串），客户端每次请求需在Header（如Authorization: Bearer xxx）或参数中携带。
- 服务端生成Token时，应包含用户ID、过期时间（exp）、随机盐值，并用私钥或密钥签名（如
hash_hmac('sha256', $payload, $secret)） - 每次API入口处需校验Token有效性：解析后验证签名、检查是否过期、确认用户状态（如是否被禁用）
- 避免将Token存于localStorage（易被XSS窃取），推荐存在httpOnly Cookie或APP本地安全存储中
- 敏感操作（如修改密码、支付）建议二次验证Token，或要求刷新短期Token（如15分钟有效期）
API请求签名：确保参数完整且未被篡改
签名机制不依赖会话，适合无状态接口。典型流程是：客户端按约定规则拼接参数 → 排序 → 拼接密钥 → 计算哈希值（如SHA256）作为sign字段，服务端重复该过程比对。
- 参与签名的参数应排除
sign、timestamp（用于防重放）、nonce（一次性随机数）等非业务字段，但必须包含app_id、timestamp和所有业务参数 - 强制要求
timestamp在服务端时间±5分钟内，超时即拒收，防止请求被截获后重放 - 每个App分配独立
app_secret，严禁硬编码在APP前端；签名逻辑应在服务端校验，绝不信任客户端传来的sign - 示例签名字符串：
app_id=123&method=user.info×tamp=1718234567&user_id=888&8f9a2b1c4d...（末尾为app_secret）→ SHA256后转小写
Token与签名协同使用的典型流程
单一机制有短板：仅用Token无法防参数篡改；仅用签名无法区分用户身份。二者结合才能构建完整防护链。
立即学习“PHP免费学习笔记（深入）”；
- 登录成功后，服务端返回Token（含用户标识和有效期），APP后续请求同时携带Token和签名
- 网关层先验签（校验完整性+时效性），再解析Token获取用户身份，最后路由到具体接口
- 权限控制放在业务层：Token确定“是谁”，签名确保“请求可信”，再根据角色/权限表判断“能否执行”
- 敏感接口可叠加IP限流、设备指纹校验，进一步降低风险
常见疏漏与加固建议
很多项目因细节处理不当导致安全形同虚设。
- 签名算法未强制统一编码格式（如UTF-8），中文参数在前后端编码不一致会导致验签失败
- 未过滤空参数或忽略大小写（如
UserID和user_id视为不同键），引发签名不一致 - 错误地把
app_secret直接用于Token签名，导致一旦APP被逆向，整个签名体系崩溃；应使用独立密钥对 - 调试阶段关闭签名/Token校验，上线后忘记开启——建议用配置开关（如
ENV === 'prod'）自动启用
