Webman接口防伪造需严格校验timestamp、noncestr和sign：从请求头或参数取时间戳，Redis查重nonce（建议IP+UA哈希为key），参数ksort并过滤空值后拼接密钥签名，验签失败必须返回401/403，且须用php://input获取原始数据确保验签准确。
Webman 接口防伪造，核心不是加个 sign 字段就完事——签名必须绑定时间、随机数、参数顺序和密钥，且服务端必须严格重算比对；否则攻击者改个 amount=1 为 amount=999999 就能绕过。
如何用中间件统一校验 timestamp + noncestr + sign
这是最常用也最容易出错的签名方案。关键不在“有没有”，而在“验得严不严”。
- 必须从
$request->header('X-Timestamp')或$request->get('timestamp')取时间戳，不能依赖time()猜测 -
noncestr必须在服务端查重（如 Redis 中存"nonce:{$ip}:{$noncestr}"），超时后自动失效，不能只靠客户端传一次就信 - 签名原文拼接前，要
ksort()参数数组，过滤空值，且字段名严格区分大小写（appId≠appid） - 验签失败必须返回 401 或 403，**不能返回 200 + 错误提示**，否则攻击者可批量试探签名规则
为什么 file_get_contents('php://input') 是支付宝/微信回调验签的前提
因为 Swoole 的 $_POST 会受 Content-Type 解析影响，而第三方支付回调发的是原始 application/x-www-form-urlencoded body，字段顺序和空格都可能被破坏。
- 直接传
$_POST给AlipayAopClient::rsaCheckV1()，大概率返回false，不是验签失败，是数据源已失真 - 必须用
file_get_contents('php://input')拿原始字节流，再parse_str($raw, $data)解析，确保和支付宝发出的完全一致 - 解析后务必
unset($data['sign'], $data['sign_type'])，否则验签函数内部会把sign当作参与签名的字段，导致永远不匹配
webman-api-sign 插件启用 replay 防重放时要注意什么
它默认用 ip + noncestr 做唯一键，但真实环境里 IP 不可靠——NAT 网关下几十人共一个出口 IP，CDN 回源也可能抹掉真实 IP。
立即学习“PHP免费学习笔记（深入）”；
- 开启
'replay' => true时，建议把getRealIp(false)和$request->header('User-Agent')一起哈希进 key，降低冲突概率 -
'replay_timeout' => 604800（7 天）太长，高频接口建议设为 300–600 秒，避免 Redis 内存积压 - 若用
DatabaseDriver，注意app_sign表中app_secret字段必须加密存储，不能明文落库
真正难的不是写对一次签名，而是所有接口都用同一套规则、所有中间件都走同一套清理逻辑、所有异常路径都不跳过验签——漏掉一个 if 分支，就等于留了一扇没锁的门。
