接口校验思路：

在对外提供接口时，我们一定要注意到数据的安全问题。如果可以建议使用HTTPS，但是在接口安全方面，还是建议大家对接口数据进行数据签名，防止中途数据被串改。签名的主要思想如下：

1、首先要定义如下三个字段：

当前时间戳：防止接口一直被刷 签名字段：主要是服务端用来进行对比数据是否一致 签名秘钥： 必须将当前时间戳和签名秘钥参数追加到传递进来的参数中。

2、对所有参数按照键进行升序排列

3、将第二步排列好的参数按照key=value&key=value进行拼接

4、将第三步拼接好的参数与时间戳、秘钥拼接

5、将第四步的字符串进行md5进行加密后转大写，生成对应的签名字符串

6、将第五步的签名数据追加到传递进来的参数中

7、将第六步的数据进行签名对比

实例：

  1. <?php
  3. namespace App\Http\Middleware;
  5. use App\Http\Constants\ApiStatus;
  6. use App\Http\Controllers\Controller;
  7. use Closure;
  8. use Illuminate\Http\Request;
  9. use Illuminate\Support\Facades\Log;
  11. /**
  12.  * 接口签名校验
  13.  * Class SignMiddleware
  14.  * @package App\Http\Middleware
  15.  */
  16. class SignMiddleware
  17. {
  18.     /**
  19.      * Handle an incoming request.
  20.      *
  21.      * @param Request $request
  22.      * @param Closure $next
  23.      * @return mixed
  24.      */
  25.     public function handle($request, Closure $next)
  26.     {
  27.         try {
  28.             $miyuSign = $request->header("miyu-sign");
  29.             $time = $request->header("miyu-time");
  30.             if (empty($sign) || empty($time)) {
  31.                 return Controller::responseError(ApiStatus::ILLEGAL_REQUEST);
  32.             }
  33.               # 时间有效性校验
  34.             $currentTime = time();
  35.             if ($currentTime - $time >= 300 || $currentTime - $time < -300) {
  36.                 return Controller::responseError(ApiStatus::TIME_EXCEPT);
  37.             }
  38.             if ($request->method() == "POST") {
  39.                 $data = $request->post();
  40.             } elseif ($request->method() == "GET") {
  41.                 $data = $request->all();
  42.             }
  43.             ksort($data);
  44.             $sign = md5(urldecode(http_build_query($data)) . "&time=" . $time . '&token=111111111');
  45.             if ($sign !== $miyuSign) {
  46.                 return Controller::responseError(ApiStatus::ILLEGAL_REQUEST);
  47.             }
  48.         } catch (\Exception $e) {
  49.             Log::debug($e->getMessage());
  50.             return Controller::responseError(ApiStatus::ILLEGAL_REQUEST);
  51.         }
  52.         return $next($request);
  53.     }
  54. }

注意事项

1、假如是客户端请求接口，就需要多想一步了。假如把 秘钥 硬编码到客户端，会有反编译的风险，特别是 android 。可以在客户端登陆验证成功后，返回给客户端的信息中带上 秘钥(当然，返回的数据也可能被拦截，真是防不胜防啊。。。)。特别说明一下，在 android 开发中，假如硬要把 秘钥 硬编码，建议把 appsecret 放到 NDK 中编译成 so 文件， app 启动后去读取。