Spring Boot中REST接口签名验证需统一拦截请求，按字典序拼接参数并HMAC-SHA256加签，校验时间戳防重放、多租户密钥动态管理及HTTPS传输加密。
Spring Boot 中实现 REST 接口签名验证，核心是拦截请求、提取签名参数、按约定规则生成服务端签名，并比对一致性。重点在于统一拦截、防篡改（含时间戳防重放）、密钥安全管理和算法可插拔。
1. 定义签名规则（客户端与服务端必须一致）
典型签名流程包括：
- 从请求中提取指定参数（如 appId、timestamp、nonce、业务参数等），排除 sign 本身
- 按参数名字典序排序，拼接为
key1=value1&key2=value2格式（注意 URL 编码处理） - 在拼接字符串末尾追加密钥（如
secretKey），再用 HMAC-SHA256 等算法计算摘要 - 将摘要结果转为小写十六进制字符串，作为最终签名值
- 服务端校验时，还需检查 timestamp 是否在允许偏差内（如 ±5 分钟），防止重放攻击
2. 使用 Spring 拦截器统一校验签名
创建 HandlerInterceptor，在 preHandle 中完成校验逻辑：
java-api-doc-generator
下载
分析 Java Spring Boot 后端 Controller 代码，自动生成 Markdown 格式的接口文档。当用户说“生成 Java 接口文档”、“生成 API 文档”、“从 Spring 代码生成文档”时触发。
- 过滤不需要签名的路径（如
/actuator/**、/swagger-ui/**） - 从
HttpServletRequest获取所有请求参数（GET 用getParameterMap()，POST 表单同理；JSON 请求需提前读取并缓存 body，推荐用ContentCachingRequestWrapper） - 调用签名工具类生成服务端 sign，与请求头或参数中的
sign字段比对 - 校验失败抛出
SignatureException，由全局异常处理器返回 401 或自定义错误码
3. 支持多租户/多应用的密钥管理
不同 appId 对应不同 secretKey，不建议硬编码：
- 将密钥存在数据库或配置中心（如 Nacos、Apollo），按
appId查询 - 添加缓存（如 Caffeine），避免每次请求都查库
- 密钥字段在存储和传输中应加密（如使用 AES 加密后存库，运行时解密）
- 提供密钥轮换接口，支持后台动态更新某 appId 的 secret
4. 注意事项与增强点
实际落地时容易忽略的关键细节：
- GET 和 POST 的参数获取方式不同，JSON 请求体只能读一次，务必用包装类缓存
- 签名不包含空值参数，但需约定是否忽略 null/empty 字符串（建议统一剔除）
- 时间戳单位统一为秒或毫秒，服务端解析时保持一致
- 敏感接口建议同时启用 HTTPS，签名仅防参数篡改，不替代传输加密
- 可扩展支持国密 SM3 签名，通过策略模式切换算法实现
不复杂但容易忽略。关键不是写多少代码，而是规则清晰、拦截无遗漏、密钥不裸奔、时间窗合理。
