php如何防止接口参数被篡改_php签名算法与参数排序加密校验完整性

答案：通过参数排序、拼接并结合密钥使用HMAC-SHA256加密生成签名，服务端重新计算比对签名以验证请求完整性，确保接口防篡改。

在开发Web接口时，确保请求参数不被篡改是保障系统安全的重要环节。PHP中常用的方式是通过签名（Signature）机制来验证请求的完整性。该机制基于参数排序和加密算法，服务端对接收到的参数重新计算签名，并与客户端传来的签名比对，从而判断参数是否被修改。

签名机制的基本原理

签名的核心思想是：客户端和服务端约定一种签名算法，客户端在发起请求时，将所有参数按规则排序后拼接，再结合密钥进行加密生成签名，附带在请求中。服务端收到请求后，使用相同逻辑重新生成签名，并与传入的签名对比，一致则认为请求合法。

关键点包括：

参数排序：将所有请求参数（除签名本身）按字段名升序排列，避免因顺序不同导致签名不一致。
拼接字符串：将排序后的参数以“key=value”形式连接，通常用“&”分隔。
密钥参与加密：使用双方共享的密钥（secretKey）参与加密过程，如拼接后再进行哈希。
使用安全哈希算法：推荐使用 SHA256 或 HMAC-SHA256，避免 MD5 或 SHA1 等弱算法。

具体实现步骤

以下是一个简单的 PHP 实现示例：

// 客户端或服务端共用的签名生成函数
function generateSign($params, $secretKey) {
    // 过滤空值、签名字段
    $filtered = array_filter($params, function($k) {
        return $k !== 'sign';
    }, ARRAY_FILTER_USE_KEY);

    // 参数名升序排序
    ksort($filtered);

    // 拼接为 key1=value1&key2=value2 格式
    $query = http_build_query($filtered);

    // 使用 HMAC-SHA256 加密，更安全
    $sign = hash_hmac('sha256', $query, $secretKey);

    return strtolower($sign);
}

服务端验证签名示例：

// 假设接收到的参数为 $_POST 或 $_GET
$receivedParams = $_GET; // 或 json_decode(file_get_contents('php://input'), true)
$providedSign = $receivedParams['sign'] ?? '';
$secretKey = 'your_secret_key_here'; // 应从配置文件读取

// 重新生成签名
$expectedSign = generateSign($receivedParams, $secretKey);

if ($providedSign === $expectedSign) {
    echo "签名验证通过，参数未被篡改";
} else {
    http_response_code(403);
    echo "签名验证失败，请求非法";
}