php 实现 签名

PHP 实现签名的方法

在PHP中实现签名通常用于API请求验证、数据传输安全等场景。以下是几种常见的签名实现方法：

使用哈希算法生成签名

$data = '需要签名的数据';
$secretKey = '你的密钥';
$signature = hash_hmac('sha256', $data, $secretKey);

这种方法使用HMAC算法，结合密钥对数据进行哈希运算，生成不可逆的签名。

使用RSA非对称加密生成签名

$privateKey = openssl_pkey_get_private('file://path/to/private.key');
$data = '需要签名的数据';
openssl_sign($data, $signature, $privateKey, OPENSSL_ALGO_SHA256);
$signature = base64_encode($signature);

非对称加密更安全，适合对安全性要求较高的场景。需要先生成公钥和私钥对。

简单MD5签名

$data = '需要签名的数据';
$secretKey = '你的密钥';
$signature = md5($data . $secretKey);

这种方法简单但安全性较低，适合对安全性要求不高的内部系统。

签名验证的实现

对于接收方，验证签名的基本流程：

$receivedSignature = $_POST['signature']; // 获取收到的签名
$calculatedSignature = hash_hmac('sha256', $data, $secretKey); // 本地计算签名

if (hash_equals($calculatedSignature, $receivedSignature)) {
    // 签名验证通过
} else {
    // 签名验证失败
}

注意使用hash_equals函数来防止时序攻击。

签名参数排序的实现

在API签名中，通常需要对参数进行排序：

$params = [
    'param1' => 'value1',
    'param2' => 'value2'
];

ksort($params);
$stringToSign = http_build_query($params);
$signature = hash_hmac('sha256', $stringToSign, $secretKey);

这种方法确保参数顺序不影响签名结果。

时间戳防重放

为签名添加时间戳可以防止重放攻击：

$timestamp = time();
$data = '需要签名的数据' . $timestamp;
$signature = hash_hmac('sha256', $data, $secretKey);

接收方可以检查时间戳是否在合理范围内（如±5分钟）。