如何有效提升 API 接口的安全性？

GET /api/data?a=111&b=222&key=secret

$sign = md5("a=111&b=222&key=secret");

<?php
// 示例代码，假设请求参数是一个关联数组
$params = [
    'b' => 222,
    'a' => 111
];

// 1. 对请求参数进行 ASCII 排序
ksort($params);

// 2. 转成 `a=111&b=222` 这样的结构
$queryString = http_build_query($params);

// 3. 进行 MD5 加密，生成 sign
$secretKey = 'your_secret_key'; // 与后端协定好的 key
$sign = md5($queryString . '&key=' . $secretKey);

// 4. 客户端请求携带参数以及 sign
// 假设这是客户端的请求
$request = [
    'params' => $params,
    'sign' => $sign
];

// 后端验证逻辑示例
function verifyRequest($request, $secretKey) {
    // 获取参数和 sign
    $params = $request['params'];
    $clientSign = $request['sign'];

    // 1. 对请求参数进行 ASCII 排序
    ksort($params);

    // 2. 转成 `a=111&b=222` 这样的结构
    $queryString = http_build_query($params);

    // 3. 进行 MD5 加密，生成新的 sign
    $serverSign = md5($queryString . '&key=' . $secretKey);

    // 4. 比较两个 sign
    return $clientSign === $serverSign;
}

$secretKey = 'your_secret_key'; // 与前端协定好的 key
$isRequestValid = verifyRequest($request, $secretKey);

if ($isRequestValid) {
    echo "请求合法";
} else {
    echo "请求非法";
}

<?php
// 假设已经连接到 Redis 服务器
$redis = new \Redis();
$redis->connect('127.0.0.1', 6379);

// 生成一个唯一的 sign，通常可以使用请求参数的哈希值
$sign = md5(http_build_query($params) . '&key=' . $secretKey);

// 检查请求是否已经存在于 Redis 中
if ($redis->exists($sign)) {
    echo "请求过于频繁，请稍后再试";
} else {
    // 设置 Redis 键值对，带过期时间（秒）
    $expirationTime = 3600; // 1 小时
    $redis->setex($sign, $expirationTime, 'alex');
    // 处理正常请求逻辑
    // ...
}