StringBuilder仅高效拼接签名原文，需确保内容确定、顺序严格、无多余空格换行；“密钥串”指按规则拼接的业务参数原文或HMAC的baseString，绝不可直接拼接原始密钥；应每次新建实例避免线程安全问题，并保障前后端数据格式完全一致。
在加密加签过程中，StringBuilder 本身不参与加密或签名逻辑，它只负责高效拼接字符串（如密钥、参数、时间戳等原始数据）。关键在于：**拼接内容必须确定、不可变、顺序严格，且不能引入额外空格或换行**——否则会导致签名不一致、验签失败。
拼接前先明确“密钥串”的真实含义
所谓“密钥串”，通常不是直接把 secretKey 拼进去（那会泄露密钥），而是指：
- 待签名的业务参数按约定规则拼成的原文（如
appId=xxx×tamp=123&nonce=abc&data={...}） - 可能包含密钥参与计算的中间字符串（如 HMAC 签名前构造的 baseString）
- 绝对不建议用
StringBuilder拼接原始密钥（如sb.append(secretKey)），密钥应通过SecretKeySpec或KeyStore安全传递
用 StringBuilder 高效拼接签名原文的正确姿势
以常见 HmacSHA256 签名为例，拼接待签名字符串（baseString）：
- 初始化时指定合理容量（避免多次扩容）：
new StringBuilder(256) - 按协议顺序追加 key=value，用
&连接，不加空格、不 URLEncode（除非协议明确要求） - 对参数值做必要预处理（如去首尾空格、统一 null 转空字符串），但不要擅自 encode —— 编码应在拼接后、签名前统一进行
- 示例：
StringBuilder sb = new StringBuilder(256);
sb.append("appId=").append(appId)
.append("×tamp=").append(timestamp)
.append("&nonce=").append(nonce)
.append("&data=").append(dataJson); // dataJson 已是合法 JSON 字符串
String baseString = sb.toString(); // 此即待签名原文
// 后续再用 baseString + secretKey 计算 HmacSHA256
注意线程安全与复用陷阱
StringBuilder 是非线程安全的，加签逻辑若在多线程环境（如 Web 请求并发）中被共享使用，必须：
立即学习“Java免费学习笔记（深入）”；
- 每次新建实例（推荐）—— 开销极小，远低于同步成本
- 或使用
ThreadLocal<StringBuilder>缓存，但需手动清理，防止内存泄漏 - 禁止将同一
StringBuilder实例作为类成员变量跨请求复用
比拼接更关键的是签名前的数据一致性
很多验签失败不是因为拼接慢，而是因为：
- 前后端对空值、布尔值、嵌套 JSON 的序列化格式不一致（如
truevs"true"） - 时间戳单位不统一（秒 vs 毫秒）
- 参数排序未严格按字典序（某些协议要求）
- 拼接后忘记去除不可见字符（如 BOM、零宽空格）
建议：拼接完成后，先打印日志（脱敏后）比对前后端原文是否完全一致，再进入加密环节。
