验签本质是比对客户端和服务端用相同算法生成的签名，核心三步：提取参数→拼接字符串→用密钥和约定算法重算签名并对比；必须严格统一排序、空值处理、编码、算法（推荐sha256）及密钥加载方式，且须校验timestamp与nonce防重放。
验签本质是比对客户端和服务端用相同算法生成的签名
PHP接口验签不是加密传输，而是验证请求是否被篡改、来源是否可信。核心逻辑就三步：提取参数 → 拼接字符串 → 用密钥和约定算法重算签名 → 对比。关键不在于多复杂，而在于两端（前端/APP 和 PHP 后端）必须严格一致：排序方式、空值处理、编码规则、哈希算法、密钥存储位置。
hash_hmac 是最常用也最稳妥的签名函数
别用 md5 或 sha1 直接拼接，它们容易被重放或碰撞。用 hash_hmac 能天然防篡改，且 PHP 原生支持，无需额外扩展。
实操建议：
- 固定用
sha256算法（兼容性好、安全性够用），避免用md5或sha1 - 密钥绝不硬编码在代码里，从环境变量或配置文件读取，比如
$_ENV['API_SECRET'] - 签名原文必须剔除签名字段本身（如
sign）、按字典序排序所有参与参数（包括timestamp、nonce） - URL 解码后再拼接，否则中文或特殊字符会导致两端不一致
示例片段：
立即学习“PHP免费学习笔记（深入）”；
$params = $_GET;
unset($params['sign']);
ksort($params);
$signStr = http_build_query($params, '', '&', PHP_QUERY_RFC3986);
$expectedSign = hash_hmac('sha256', $signStr, $_ENV['API_SECRET']);
时间戳 + 随机串（timestamp 和 nonce）必须校验
没这俩，签名只是防篡改，不防重放。攻击者截获一次合法请求，稍作延迟就能重复提交。
检查要点：
-
timestamp要求与服务端时间差 ≤ 300 秒（5 分钟），用time()对比，别用date('U')（效果一样但易混淆） -
nonce必须单次有效：存 Redis 并设 5 分钟过期，或用数据库去重；不能只存在内存里 - 如果没传
timestamp或nonce，直接拒绝，不进入签名比对流程
常见失败原因：编码、排序、空值处理不一致
90% 的验签失败不是算法问题，而是细节错位。尤其注意这些点：
- 前端用
encodeURIComponent，PHP 用urldecode—— 但$_GET已自动解码，重复urldecode会导致乱码 - 空字符串
''、null、未定义键，在排序前要统一转成空字符串再参与拼接 - 参数名大小写敏感：
UserId和userid是两个键，前后端必须完全一致 - GET 和 POST 混合传参时，别漏掉
$_POST里的字段（或统一约定只从某一种方式取）
调试技巧：把服务端拼出的 $signStr 打印出来（开发环境），和前端生成签名前的原始串逐字符对比。
真正难的不是写几行 hash_hmac，而是让所有环节——参数采集、排序、编码、密钥加载、时间校验——都稳稳咬合。少一个齿轮，整个验签就失效。
