php接口安全之sign加密【php】

一、第一步：整理参数

1.举例请求参数为uid=1&time=2019&name=song

2.将参数整理为数组（如果为post请求可以直接得到），并按照key进行排序

比如，上述实例进行排序后的结果为：

['name' => 'song', 'time' => 2019, 'uid' => 1]；

3.对value进行转码（urlencode），并换化为排序好的字符串

比如，上述实例进行排序后的结果为：

name=song&time=2019&uid=1

二、第二步：加密

1.对字符串进行sha1加密，$secret='miyao' ，这个秘钥要保存，不要泄露

$result = hash_hmac('sha1', 'name=song&time=2019&uid=1', $secret, true);

2.对$result结果，进行base64加密后返回

return base64_encode($result)

三、第三步：判断

1.客户端也要进行1/2步骤的sign处理，将处理后的结果sign拼接到参数中，进行传递

2.服务端根据客户端生成的sign，与自己的sign做比对，如果一致，则验证成功

3.由于里面的秘钥，是私钥，我们自己设定的别人无法知道，所以接口在一定程度上是安全的

4.可以在接口中再增加时间戳字段，如果时间戳与服务器时间差距多大，也验证失败，避免恶意一直抓取数据