Go与PHP HTTP POST请求签名差异解析与实践

<?php
// ...
$parameters = array();
$parameters['nonce'] = usecTime(); // 生成随机数
$data = http_build_query($parameters); // 将参数数组转换为URL编码字符串

$httpHeaders = array(
    'Api-Key: '   . $apiKey,
    'Api-Sign:'   . base64_encode(hash_hmac('sha512', $endpoint . chr(0) . $data, $apiSecret)),
);

$ch = curl_init();
// ...
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, $httpHeaders);
curl_setopt($ch, CURLOPT_POSTFIELDS, $data); // 将URL编码字符串作为请求体
// ...
$output = curl_exec($ch);
?>

func Call(c appengine.Context) map[string]interface{} {
    // ...
    values := url.Values{}
    values.Set("nonce", strconv.FormatInt(time.Now().UnixNano()/1000, 10))

    // 签名计算（此处假设GenerateSignatureFromValues已正确实现）
    signature := GenerateSignatureFromValues(apiSecret, endpoint, values)

    // 常见误区：使用nil作为请求体，并尝试设置req.Form
    req, _ := http.NewRequest("POST", serverURL+endpoint, nil) 
    req.Form = values // Go HTTP客户端在发送请求时会忽略此字段

    req.Header.Set("Api-Key", apiKey)
    req.Header.Set("Api-Sign", signature)

    // ... 发送请求
}

// Form contains the parsed form data, including both the URL
// field's query parameters and the POST or PUT form data.
// This field is only available after ParseForm is called.
// The HTTP client ignores Form and uses Body instead.
Form url.Values

package main

import (
    "bytes"
    "crypto/hmac"
    "crypto/sha512"
    "encoding/base64"
    "encoding/hex"
    "encoding/json"
    "fmt"
    "io/ioutil"
    "net/http"
    "net/url"
    "strconv"
    "strings"
    "time"

    "google.golang.org/appengine"
    "google.golang.org/appengine/urlfetch"
)

// GenerateSignatureFromValues 根据API密钥、端点和URL参数生成HMAC-SHA512签名
func GenerateSignatureFromValues(secretKey string, endpoint string, values url.Values) string {
    // 确保与PHP的http_build_query行为一致，将参数编码为字符串
    queryData := values.Encode() // 编码一次，确保签名和请求体使用相同的数据

    // 按照API文档要求构建待签名字符串：endpoint + null byte + queryData
    toEncode := []byte(endpoint)
    toEncode = append(toEncode, 0x00) // 添加空字节
    toEncode = append(toEncode, []byte(queryData)...)

    key := []byte(secretKey)
    hmacHash := hmac.New(sha512.New, key)
    hmacHash.Write(toEncode)

    // 计算HMAC-SHA512哈希值
    answer := hmacHash.Sum(nil)

    // 将哈希值转换为小写十六进制字符串，再进行Base64编码
    // 注意：原始问题中的PHP代码直接对二进制HMAC结果进行Base64编码，
    // 而Go代码多了一步hex.EncodeToString(answer)并转小写。
    // 这里假设API要求的是对HMAC的二进制结果进行Base64编码，与PHP保持一致。
    // 如果API要求的是hex编码后Base64，则保留strings.ToLower(hex.EncodeToString(answer))。
    // 实际应以API文档为准。此处修正为直接Base64编码二进制结果，更接近PHP示例。
    return base64.StdEncoding.EncodeToString(answer)
}

// Call 执行一个带签名的HTTP POST请求
func Call(c appengine.Context) map[string]interface{} {
    serverURL := "https://api.vaultofsatoshi.com"
    apiKey := "ENTER_YOUR_API_KEY_HERE"
    apiSecret := "ENTER_YOUR_API_SECRET_HERE"
    endpoint := "/info/order_detail" // 示例端点

    // 1. 构建URL参数
    values := url.Values{}
    // 生成nonce，使用微秒级时间戳（Go的UnixNano()是纳秒，除以1000得到微秒）
    values.Set("nonce", strconv.FormatInt(time.Now().UnixNano()/1000, 10))

    // 2. 编码URL参数一次，用于签名和请求体
    encodedData := values.Encode() 

    // 3. 生成签名，使用编码后的数据
    signature := GenerateSignatureFromValues(apiSecret, endpoint, values) // GenerateSignatureFromValues内部会再次调用Encode()，这里可以优化

    // 优化：为了确保签名和请求体使用的数据完全一致，可以调整GenerateSignatureFromValues
    // 或者直接将encodedData传递给签名函数，如果签名函数支持。
    // 假设GenerateSignatureFromValues已经调整为直接接收编码后的字符串，或者其内部逻辑与此一致。
    // 为了与PHP示例完全对齐，GenerateSignatureFromValues内部应重新编码或使用传递的url.Values
    // 这里的GenerateSignatureFromValues示例是接收url.Values，内部会再次Encode，这是可以接受的
    // 因为url.Values.Encode()是确定性的。

    // 4. 创建请求体
    reqBody := bytes.NewBufferString(encodedData)

    // 5. 创建HTTP请求
    // 注意：http.NewRequest的第三个参数是请求体
    req, err := http.NewRequest("POST", serverURL+endpoint, reqBody)
    if err != nil {
        c.Errorf("Error creating request: %s", err)
        return nil
    }

    // 6. 设置HTTP头部
    req.Header.Set("Api-Key", apiKey)
    req.Header.Set("Api-Sign", signature)
    // 显式设置Content-Type，与PHP cURL行为一致
    req.Header.Set("Content-Type", "application/x-www-form-urlencoded")
    // 模拟PHP cURL的User-Agent，如果API有要求
    req.Header.Set("User-Agent", "something specific to me") 

    // 7. 使用urlfetch.Transport发送请求 (适用于Google App Engine)
    tr := urlfetch.Transport{Context: c}
    resp, err := tr.RoundTrip(req)
    if err != nil {
        c.Errorf("API post error: %s", err)
        return nil
    }
    defer resp.Body.Close()

    // 8. 读取并解析响应
    body, err := ioutil.ReadAll(resp.Body)
    if err != nil {
        c.Errorf("Error reading response body: %s", err)
        return nil
    }

    result := make(map[string]interface{})
    if err := json.Unmarshal(body, &result); err != nil {
        c.Errorf("Error unmarshaling response: %s", err)
        return nil
    }

    return result
}

// 模拟App Engine上下文，用于本地测试或非App Engine环境
type mockContext struct{}
func (m *mockContext) Errorf(format string, args ...interface{}) {
    fmt.Printf("[ERROR] "+format+"\n", args...)
}
func (m *mockContext) Debugf(format string, args ...interface{}) {
    fmt.Printf("[DEBUG] "+format+"\n", args...)
}
// ... 其他appengine.Context方法需要实现或忽略

func main() {
    // 示例调用 (在实际App Engine环境中，Call函数会被HTTP处理函数调用)
    // mc := &mockContext{}
    // response := Call(mc)
    // if response != nil {
    //     fmt.Println("API Response:", response)
    // }
}

    return base64.StdEncoding.EncodeToString(answer) // 直接Base64编码HMAC的二进制结果