如何用PHP实现签名？API签名验证方法-php教程-PHP中文网

如何用PHP实现签名？API签名验证方法

絕刀狂花

发布： 2025-07-05 15:38:01

原创

152人浏览过

签名功能在api开发中用于验证请求合法性，防止数据篡改。其核心在于生成和验证签名字符串的一致性。1. 签名原理是对参数排序拼接后用密钥加密，常用md5或hmac-sha256；2. php实现需过滤sign字段、排序参数、拼接字符串、附加密钥并加密；3. 服务端验证流程为复现签名生成过程并与客户端签名对比；4. 实际开发建议包括时间戳校验、使用nonce防重放、启用https、签名字段不参与拼接、统一编码格式等。

如何用PHP实现签名？API签名验证方法

签名功能在API开发中很常见，主要用于验证请求的合法性，防止数据被篡改。PHP实现签名的方式其实不复杂，核心在于生成和验证签名字符串的一致性。

一、签名的基本原理

签名的本质是：对请求参数进行排序、拼接，并使用密钥进行加密，生成一段唯一字符串作为签名值。服务端收到请求后，按照同样的规则重新计算签名，与传入的签名对比，一致则认为合法。

常见做法是使用 MD5 或 HMAC-SHA256 等算法进行加密。

立即学习“PHP免费学习笔记（深入）”；

举个例子：

客户端传参：username=admin&timestamp=1717029200
拼接成：admin_1717029200
加密成签名：md5(admin_1717029200_secret_key) → 得到一个32位字符串
请求带上该签名，服务端做同样处理并比对

二、PHP生成签名的方法

以下是一个简单的PHP签名生成示例：

function generateSign($params, $secretKey) {
    // 1. 过滤掉sign字段
    unset($params['sign']);

    // 2. 参数按key排序
    ksort($params);

    // 3. 拼接 key=value 形式
    $str = '';
    foreach ($params as $k => $v) {
        if ($v !== '') { // 可选：过滤空值
            $str .= $k . '=' . $v . '&';
        }
    }

    // 4. 去掉末尾的&
    $str = rtrim($str, '&');

    // 5. 拼接密钥
    $str .= $secretKey;

    // 6. 使用MD5或sha256等算法生成签名
    return md5($str);
}

登录后复制

调用方式：

$params = [
    'username' => 'admin',
    'timestamp' => time(),
];
$secretKey = 'your_secret_key';

$sign = generateSign($params, $secretKey);

登录后复制

三、服务端如何验证签名

服务端的验证流程基本就是客户端生成签名的复现过程：

接收所有请求参数（GET/POST）
提取签名字段（如 sign）
按照相同规则生成签名
对比是否一致

关键点：

时间戳的有效期控制（比如允许前后5分钟内）
密钥不能泄露
避免重复请求（可记录已使用的nonce）

验证代码大致如下：

function verifySign($params, $secretKey) {
    $clientSign = $params['sign'] ?? '';
    if (!$clientSign) return false;

    $serverSign = generateSign($params, $secretKey);

    return $clientSign === $serverSign;
}

登录后复制