如何在Node.js服务端使用web3.js实现消息签名

你的核心思路是可落地的，但原实现里调用web3.personal.sign的方案存在明显问题，调整后可以直接上线使用。服务端持有私钥做自动签名的场景确实不适合用MetaMask这类客户端钱包，你的判断是对的。

• 安装依赖
  执行命令安装必要依赖：
  npm install web3 dotenv express
  其中web3用来做签名逻辑，dotenv用来本地开发时读取环境变量，express用来提供HTTP接口接收前端请求，如果你用Koa、Fastify等其他Node.js框架，接口逻辑完全一致。
• 配置私钥
  私钥绝对不能硬编码在代码里，本地开发时可以在项目根目录创建.env文件写入私钥，同时把.env加入.gitignore避免提交到代码仓库；生产环境直接在服务器的环境变量里配置即可。.env内容格式如下：

  SIGNER_PRIVATE_KEY=0x你的私钥字符串
  

  注意私钥需要带0x前缀，如果你的原始私钥没有前缀，手动补上即可。
• 编写签名逻辑
  不要用web3.personal.sign方法，直接用web3内置的本地账户模块做签名，不需要依赖RPC节点就能完成签名操作，示例代码如下：

  require('dotenv').config();
  const { Web3 } = require('web3');
  const express = require('express');
  const app = express();
  app.use(express.json());
  
  // 初始化web3实例，纯签名场景不需要传入RPC节点地址
  const web3 = new Web3();
  // 从环境变量加载私钥生成签名账户
  const signerAccount = web3.eth.accounts.privateKeyToAccount(process.env.SIGNER_PRIVATE_KEY);
  
  // 签名接口
  app.post('/api/sign-message', async (req, res) => {
    const { message } = req.body;
    // 基础参数校验
    if (!message || typeof message !== 'string') {
      return res.status(400).json({ code: 400, msg: '消息参数非法' });
    }
    try {
      // 本地执行签名，无需请求链上节点
      const signRes = await signerAccount.sign(message);
      return res.json({
        code: 200,
        data: {
          signature: signRes.signature,
          signer: signerAccount.address,
          originalMessage: message
        }
      });
    } catch (err) {
      return res.status(500).json({ code: 500, msg: '签名失败', err: err.message });
    }
  });
  
  app.listen(3000, () => {
    console.log('签名服务运行在3000端口');
  });
  

• 禁用web3.personal.sign方法：这个接口是设计给以太坊节点管理本地账户用的，需要节点开放personal命名空间的权限，公网环境开放这个接口会导致节点托管的所有资产被盗，且绝大多数公共RPC服务默认禁用该接口，根本无法正常调用。
• 严格做好私钥权限隔离：专门生成一个新的钱包地址作为签名专用地址，不要用存储大额资产的主钱包私钥做服务端签名，根据业务需要给该签名地址分配最小必要权限即可。
• 增加消息格式校验：服务端必须对前端传入的消息做格式校验，比如约定签名消息必须包含特定前缀、固定字段结构，不符合规则的消息直接拒绝签名，避免被恶意构造的消息骗取签名造成资产损失。
• 验签逻辑对齐：前端拿到签名结果后，可以通过web3.eth.accounts.recover(message, signature)方法恢复出签名者地址，和返回的signer字段比对一致即可确认签名合法，该验签逻辑和以太坊EIP-191签名标准完全兼容，和MetaMask的签名验签规则互通。

内容的提问来源于stack exchange，提问作者Maestros