使用 PHP/Laravel 验证 Webhook 签名-php教程-PHP中文网

使用 PHP/Laravel 验证 Webhook 签名

碧海醫心

发布： 2025-09-30 20:43:44

原创

378人浏览过

使用 php/laravel 验证 webhook 签名

本文旨在提供一种在 PHP/Laravel 环境下验证 Webhook 签名的方法。通过使用 openssl 扩展，我们可以对接收到的 Webhook 请求进行签名验证，确保请求的真实性和完整性。本文将详细介绍验证签名的步骤，并提供可直接使用的代码示例，帮助开发者有效地保护应用程序免受恶意请求的侵害。

在 Webhook 集成中，验证接收到的请求的签名至关重要，以确保请求来自可信的来源，并且在传输过程中没有被篡改。通常，发送方会对请求的内容进行签名，并将签名放在请求头中。接收方则需要使用相同的算法和密钥来验证签名。

以下是如何在 PHP/Laravel 中使用 openssl 扩展验证 SHA256withRSA 签名的步骤：

1. 获取签名、公钥和请求内容

立即学习“PHP免费学习笔记（深入）”；

首先，从请求头中获取签名，并获取用于验证签名的公钥。同时，获取原始的请求内容（payload），即请求体的内容。

use Illuminate\Http\Request;

public function isValid(Request $request): bool
{
    $signature = $request->header('X-Signature');
    if (! $signature) {
        return false;
    }

    $publicKey = config('services.webhook.public_key'); // 从配置中获取公钥，建议不要硬编码

    if (!$publicKey) {
        return false;
    }

    $payload = $request->getContent();

    // 后续步骤...
}

登录后复制

2. 解码签名

签名通常是经过 Base64 编码的，因此需要先进行解码。

NameGPT名称生成器

免费AI公司名称生成器，AI在线生成企业名称，注册公司名称起名大全。

查看详情

    $signature = base64_decode($signature);

登录后复制

3. 使用 openssl_verify 函数进行验证

openssl_verify 函数用于验证签名。它接受原始数据、签名、公钥和使用的哈希算法作为参数。

    $publicKey = openssl_pkey_get_public($publicKey);

    $result = openssl_verify($payload, $signature, $publicKey, OPENSSL_ALGO_SHA256);

    if ($result === 1) {
        return true;
    }

    return false;
}

登录后复制

完整示例代码：

use Illuminate\Http\Request;

class WebhookController extends Controller
{
    public function handle(Request $request)
    {
        if ($this->isValid($request)) {
            // 签名验证通过，处理 Webhook 事件
            // ...
            return response('Webhook received and processed successfully.', 200);
        } else {
            // 签名验证失败，拒绝处理
            return response('Invalid signature.', 400);
        }
    }

    private function isValid(Request $request): bool
    {
        $signature = $request->header('X-Signature');
        if (! $signature) {
            return false;
        }

        $publicKey = config('services.webhook.public_key'); // 从配置中获取公钥，建议不要硬编码

        if (!$publicKey) {
            return false;
        }

        $payload = $request->getContent();

        $signature = base64_decode($signature);

        $publicKey = openssl_pkey_get_public($publicKey);

        $result = openssl_verify($payload, $signature, $publicKey, OPENSSL_ALGO_SHA256);

        if ($result === 1) {
            return true;
        }

        return false;
    }
}

登录后复制

注意事项：

公钥存储： 不要将公钥硬编码在代码中。建议将其存储在配置文件或环境变量中，以便于管理和更新。
错误处理： 检查 openssl_pkey_get_public 的返回值，确保公钥已成功加载。如果加载失败，则需要进行适当的错误处理。
请求内容： 确保获取到的请求内容是原始的、未经修改的。任何对请求内容的修改都会导致签名验证失败。
字符编码： 确保请求内容和签名都使用相同的字符编码（通常是 UTF-8）。
安全性： 避免使用弱哈希算法。SHA256 是一个相对安全的哈希算法，但仍然需要定期评估和更新。
Payload的原始性： 确保$request-youjiankuohaophpcngetContent()获取到的是未经任何处理的原始请求体。 Laravel的某些中间件可能会修改请求体，导致签名验证失败。