签名问题 —— 前后端签名验证实践

前后端签名验证介绍

今天遇到了签名验证相关问题，研究了一下前后端签名验证的规则，记录如下。

前端签名验证简化流程

/**
 * signBaseString: 基础字符串，主要由请求参数 body 或 urlParams 组成
 * timestamp: 时间戳
 * nonceStr: 随机字符串
 * secret: 秘钥或 token
 */
const raw = signBaseString + timestamp + nonceStr + secret;

const md5 = CryptoJS.MD5(raw).toString();

后端签名简化流程

let signBaseString = ''
if (req.method === "GET") {
  signBaseString = qs.stringify(req.query, { encode: false });
} else if (typeof req.body === "object") {
  signBaseString = qs.stringify(req.body, { encode: false });
} else {
  signBaseString = req.body || "";
}

const expectedSign = md5(signBaseString + timestamp + nonceStr + ACCESS_SECRET);

合法签名条件

1. 参数拼接规则一致
2. 使用相同的签名公式
3. timestamp 时间有效
4. nonceStr 唯一且非空
5. MD5（或其他算法）计算结果完全相同，包括大小写等细节(前后端计算逻辑一致)

参考

1. OAuth 1.0 协议签名规范
2. AWS API 签名版本 4
3. 微信公众平台消息签名算法

调试项目

在线查看地址