PHP 对参数签名

• 对参数进行签名防止参数劫持
• 加入timestamp， 防止DOS攻击（但这次没有实现这个功能，后续再实现）

   interface BaseToken
   {
  
       /**
        * @param params array|string 前端请求的参数
        * @param key string 秘钥
        * @return sign string
        */
       public function getSign($params, string $key);
   }
  
   class Token implements BaseToken
   {
  
       public $privateKey = 'thisisprivateKey!!';
  
       /**
        * 后端根据前端的参数生成的签名, 签名是防止参数劫持
        * 还可以判断timestamp，防止DOS攻击
        * @return sign
        */
       public function getSign($params, string $privateKey)
       {
           //有的接口可能需要判断timestamp，防止DOS攻击，判断是否传入了timestamp
           if(isset($params['timestamp'])){
               if(abs($params['timestamp']-time()) > 60*15){
                   return ['code'=>10001, 'msg'=>'timestamp失效,请重新发送请求'];
               }
           }
           $string = '';
           foreach ($params as $key => $value) {
               // firstly unset value of empty
               if(!$value){
                   unset($params[$key]);
               }
           }
           //参数名按ASCII吗从小到大排序（字典序）
           ksort($params);
           $str = '';
           foreach ($params as $key => $value) {
               //前端请求的参数里面是包含sign的，需要过滤。,timestamp 也参与签名.
               if($key != 'sign' && !is_array($value))
               $str .= $key.'='.$value.'&';
           }
           //拼接privateKey,签名
           $str .= 'key='.$privateKey;
           $sign = strtoupper(md5($str));
           return $sign;
       }
  
       // check value is or not empty
       //获取传入的参数，参数个数不确定，类型不确定
       public function handle($json)
       {
           // $params = func_get_args();  //结果是索引数组，不是关联数组
           $params = json_decode($json, true);
           $sign = $this->getSign($params, $this->privateKey);
           if($params['sign'] == $sign){
               return 'success';
           }else{
               return 'sign fail';
           }
       }
   }
  
   //模拟前端发送请求数据，使用json格式，func_get_args()返回的不是关联数组，无法使用签名。
   $user = 'bneglect';
   $timestamp = 1576659396;  //time()
   $str = '';
   $str .= 'timestamp='.$timestamp.'&user='.$user.'&key=thisisprivateKey!!';
   $sign = strtoupper(md5($str));
   $json = ['user'=>$user, 'timestamp'=>$timestamp, 'sign'=>$sign];
   $json = json_encode($json);
  
   //调用对象
   $token = new Token;
   echo $token->handle($json);