ThinkPHP如何做请求参数签名算法兼容_ThinkPHP支持新旧签名并行验证【方法】

在 ThinkPHP 里做请求参数签名，最核心的一条准则就是：别依赖框架封装好的 input() 或 param() 方法，老老实实从 $_GET/$_POST 或者 php://input 拿原始参数。签名流程其实不复杂——去掉 sign 字段，对键名自然排序，把每个值 urldecode 一下，然后拼接起来算个 md5。但稍有偏差，签名就对不上旧系统了。

ThinkPHP 请求参数签名怎么生成才和旧系统一致

旧系统的签名逻辑往往写死在 PHP 里，比如直接对 $_GET 或 $_POST 排序后拼接再 md5。而 ThinkPHP 默认不提供现成的签名工具，如果直接套用 Request::param()，很容易踩坑：空值被忽略、键名大小写被自动转换、点号（如 user.name）被改成下划线，最后签名死活对不上。

实际操作时注意以下几点：

• 别用 input() 或 param() 作为签名数据源——它们已经做过类型转换和过滤，和原始输入不一样。
• 对于 JSON 格式，用 file_get_contents('php://input') 拿到原始字节流；对于表单，直接用 $_GET + $_POST。
• 手动剔除签名字段本身（比如 sign、signature），否则会循环签名。
• 对参数键名做自然排序（ksort($params, SORT_NATURAL)），别用字母序——否则 v10 会排在 v2 前面，和预期不符。
• 拼接时用 urldecode() 统一解码每个值，避免旧系统没编码而 TP 自动编码造成的差异。

ThinkPHP 中如何并行验证新旧两种签名

新旧系统切换时，不能一刀切把旧签名干掉，得让它们共存一段时间。并行验证的关键不是“支持两种算法”，而是同一个请求能被两种规则分别验签成功。难点在于旧签名往往没有时间戳或随机串，新签名又要求防重放，两者校验逻辑不能互相干扰。

实操建议：

• 在中间件里统一拦截，先尝试旧签名规则（比如只校验 md5(ksort($_GET))），失败后再试新规则（含 timestamp、nonce、md5_hmac）。
• 旧规则必须加白名单控制，比如只允许特定 app_id 或来源 IP 使用，防止被滥用。
• 新规则里 timestamp 允许误差建议设为 300 秒，但旧规则必须跳过时间校验——老设备时间不准，一校验就全挂。
• 验签失败时，记录 sign_type 和原始参数，方便定位问题根源，而不是笼统报 invalid signature。

签名中间件里怎么安全获取原始请求参数

ThinkPHP 的 Request 对象默认读的是解析后的数据，input('') 会触发自动验证、类型转换甚至 filter 配置，根本拿不到原始字符串。签名必须基于原始字节流或原始键值对，否则和旧系统对不上。

按请求类型处理：

• GET 请求：用 $_GET，但要 array_walk_recursive() 清除魔术引号（如果开启），并且对每个值做 urldecode()。
• POST 表单：用 $_POST，注意它不包含文件字段，而且 PHP 会自动把 foo[bar] 转成嵌套数组。旧系统通常当扁平 key 处理，所以得用正则从 $GLOBALS['HTTP_RAW_POST_DATA'] 或 file_get_contents('php://input') 里自己解析。
• JSON 请求：必须用 file_get_contents('php://input')，然后 json_decode($raw, true)。别依赖 input('param.')，它可能已经转义双引号或丢掉 null 值。
• 拿到所有原始参数后，立即 unset() 掉 sign、signature、sign_type 等字段，再参与拼接。

为什么用 hash_hmac('sha256', $data, $key) 还是验不过

这种问题八成不是算法写错了，而是数据预处理不一致。旧系统可能用的是 md5($key.$data)，而新系统用了 hash_hmac；或者密钥是硬编码字符串，但旧系统实际用的是 base64 解码后的二进制密钥。更隐蔽的一个坑：有些旧逻辑会在拼接前把所有值强制转成字符串再 trim，而 PHP 数组里 0 和 '0' 在 == 下相等，在 === 下不等，签名直接就崩了。

排查方法：

• 先用固定测试数据（比如 ['a'=>1, 'b'=>'2']）在两边各跑一次，把中间每一步的字符串输出到日志，逐字符比对。
• 确认密钥是否需要 base64_decode() 或 hex2bin()——很多旧文档只写“密钥为 xxx”，但实际是 hex 编码。
• 检查 PHP 版本差异：hash_hmac 在 PHP 7.2+ 默认用 sha256，但旧系统可能用的是 sha1，别只看函数名。
• 避免用 http_build_query() 拼接，它会自动把空数组转成 a=&b=，而旧系统可能是 a&b 或 a=&b=，必须手写拼接逻辑。

说一千道一万，签名最麻烦的从来不是算法本身，而是两边对“原始参数”的定义不一致——有人认为 URL 解码是原始，有人认为没解码才是；有人认为键名带点要展开，有人认为就是字面量。上线前务必拿真实旧客户端发包，抓包对比每一层输入，而不是只跑自己的 demo。