ThinkPHP接口签名失败主因是环境差异致参数失真：需在中间件首行读取php://input、禁用自动JSON解析、统一rawurlencode编码、严格字段排序拼接、校验timestamp/nonce/sign_version并前置验签。
ThinkPHP部署后接口签名失败，核心问题往往不在算法本身，而在于环境差异导致的参数“失真”——服务端拿到的参数和客户端签名时用的原始字节不一致。上线后出问题，90% 是因为开发环境没暴露这些细节，一到生产环境就暴露。
原始请求体被提前读取或清空
特别是 ThinkPHP 8.0，默认会对 application/json 请求自动解析并清空 php://input 流。一旦你在控制器里调用了 $request->post() 或 $request->param()，原始 JSON 字符串就再也拿不回来了，签名原文自然对不上。
- 必须在中间件
handle()最开头，用file_get_contents('php://input')一次性读取原始 body，且只读一次 - 禁用框架自动解析：在
config/app.php中设'json_decode' => false，或路由定义加['json' => false] - 别依赖
$request->post()后再json_encode()拼串——PHP 对数组键序、浮点数、空格处理不一致，哈希必错
参数编码与归一化没对齐
客户端用 encodeURIComponent 或 rawurlencode 编码，服务端却用 $request->param() 自动 urldecode 过一遍，拼出来的字符串字节完全不同，HMAC-SHA256 必然失败。
- 所有参与签名的 value 必须统一用
rawurlencode()单独编码，不能对整个拼接串再 urlencode - 中文字段确保前后端都是 UTF-8；PHP 内部执行
mb_internal_encoding('UTF-8') - 预处理每个值：
trim(str_replace(["\r", "\n"], '', (string)$v))，清除换行、BOM、零宽空格等隐藏字符
签名原文拼接逻辑不镜像
服务端拼串顺序、字段、格式必须和客户端完全一致。漏字段、错排序、多空格、误 urldecode，都会导致哈希不一致。
立即学习“PHP免费学习笔记（深入）”；
- 参与拼接的字段明确限定：所有非空业务参数 +
appid+timestamp+nonce+sign_version（如有），必须剔除sign字段 - 键名强制小写，用
ksort($params, SORT_STRING)按字典序升序排列 - 拼接格式严格为
key1=value1&key2=value2，无空格、无换行、无末尾 &；POST body 原样追加（哪怕为空） - 签名原文结尾必须追加
rawurlencode($secretKey)，别漏掉
时间戳、nonce 和版本号校验不到位
签名只防篡改，不防重放。没有严格的时间窗口和唯一性校验，攻击者截包改个时间戳就能无限重放；sign_version 没正确提取，就会用错密钥，验签直接失败。
-
timestamp必须校验：与服务器当前时间差不超过 5 分钟（可配置） -
nonce必须去重：存入 Redis，带业务前缀（如api:nonce:appid_123:），有效期建议 5 分钟 -
sign_version必须作为独立参数传入（query 或表单字段），名称严格为sign_version；JSON 请求需加顶层字段，不能藏在 header 或嵌套 body 里 - 验签前先取
$version = $request->param('sign_version', '1')，再查配置config('sign.keys.' . $version)动态选密钥
验签必须放在中间件里，控制器里做等于把锁装在屋里——恶意请求早已触发日志、扣库存甚至事务提交，验签失去意义。不复杂但容易忽略。
