PHP 的判断语句如下：

md5($_GET['code'].'&'.$_GET['message'].'&'.$_GET['url'].'&'.$_GET['time'].'&'.UPYUN_FORMAPI_SECRET) == $_GET['sign']

DEBUG 之后两个 MD5 不一致，而且已经确认发到服务器的 sign 是正确的，各 $_GET 都有值。我是上传到图片类空间，带了 ext-param 的，是 return-url 方式的，所以 URL 里面带了 image-height 之类的和 ext-param，不知道有没有影响。