PHP 对参数签名

• 对参数进行签名防止参数劫持
• 加入timestamp， 防止DOS攻击（但这次没有实现这个功能，后续再实现）

  interface BaseToken
  {
  
      /**
       * @param params array|string 前端请求的参数
       * @param key string 秘钥
       * @return sign string
       */
      public function getSign($params, string $key);
  }
  
  class Token implements BaseToken
  {
  
      public $privateKey = 'thisisprivateKey!!';
  
      /**
       * 后端根据前端的参数生成的签名, 签名是防止参数劫持
       * 还可以判断timestamp，防止DOS攻击
       * @return sign
       */
      public function getSign($params, string $privateKey)
      {
          //有的接口可能需要判断timestamp，防止DOS攻击，判断是否传入了timestamp
          if(isset($params['timestamp'])){
              if(abs($params['timestamp']-time()) > 60*15){
                  return ['code'=>10001, 'msg'=>'timestamp失效,请重新发送请求'];
              }
          }
          $string = '';
          foreach ($params as $key => $value) {
              // firstly unset value of empty
              if(!$value){
                  unset($params[$key]);
              }
          }
          //参数名按ASCII吗从小到大排序（字典序）
          ksort($params);
          $str = '';
          foreach ($params as $key => $value) {
              //前端请求的参数里面是包含sign的，需要过滤。,timestamp 也参与签名.
              if($key != 'sign' && !is_array($value))
              $str .= $key.'='.$value.'&';
          }
          //拼接privateKey,签名
          $str .= 'key='.$privateKey;
          $sign = strtoupper(md5($str));
          return $sign;
      }
  
      // check value is or not empty
      //获取传入的参数，参数个数不确定，类型不确定
      public function handle($json)
      {
          // $params = func_get_args();  //结果是索引数组，不是关联数组
          $params = json_decode($json, true);
          $sign = $this->getSign($params, $this->privateKey);
          if($params['sign'] == $sign){
              return 'success';
          }else{
              return 'sign fail';
          }
      }
  }
  
  //模拟前端发送请求数据，使用json格式，func_get_args()返回的不是关联数组，无法使用签名。
  $user = 'bneglect';
  $timestamp = 1576659396;  //time()
  $str = '';
  $str .= 'timestamp='.$timestamp.'&user='.$user.'&key=thisisprivateKey!!';
  $sign = strtoupper(md5($str));
  $json = ['user'=>$user, 'timestamp'=>$timestamp, 'sign'=>$sign];
  $json = json_encode($json);
  
  //调用对象
  $token = new Token;
  echo $token->handle($json);