如何通过MetaMask连接验证用户为指定NFT的当前所有者

通过钱包签名挑战+服务端链上核验两步验证，彻底解决前端地址伪造问题，整个流程全在服务端做可信校验，核心逻辑如下：

1. 后端生成一次性随机挑战串 #

用户进入验证流程时，后端先生成不可预测的随机字符串，存入当前用户的Session中，返回给前端调用钱包签名使用，防止重放攻击。
PHP示例代码：

session_start();
// 生成32位随机挑战串
$_SESSION['nft_auth_challenge'] = bin2hex(random_bytes(32));
// 返回给前端
echo json_encode(['challenge' => $_SESSION['nft_auth_challenge']]);

2. 前端调用MetaMask完成签名 #

前端拿到挑战串后，调用MetaMask的personal_sign方法，让用户对挑战串做离线签名（该操作不会产生链上Gas消耗，仅做身份核验），签名完成后将钱包地址、签名值一起提交到后端。
前端核心逻辑示例：

// 已连接MetaMask的前提下
const accounts = await ethereum.request({ method: 'eth_accounts' });
const userAddress = accounts[0];
// 从后端拿到的挑战串
const challenge = '后端返回的挑战串';
// 调用签名
const signature = await ethereum.request({
  method: 'personal_sign',
  params: [challenge, userAddress]
});
// 提交地址+签名到后端验证接口
fetch('/api/verify-nft-holder', {
  method: 'POST',
  body: JSON.stringify({address: userAddress, signature: signature})
})

3. 后端验证签名合法性 #

这一步是核心，验证通过即可确认提交地址的用户确实持有对应私钥，不是伪造地址。PHP可以直接使用kornrunner/ethereum-offline-verify开源库完成验签，无需自己实现复杂的加密逻辑：

<?php
session_start();
require 'vendor/autoload.php';
use kornrunner\Ethereum\Signature;

$input = json_decode(file_get_contents('php://input'), true);
$userAddress = strtolower($input['address']);
$signature = $input['signature'];
$challenge = $_SESSION['nft_auth_challenge'];
// 挑战串一次性有效，核验后立即销毁
unset($_SESSION['nft_auth_challenge']);

// 验证签名是否有效
$isSignValid = Signature::verify($challenge, $signature, $userAddress);
if (!$isSignValid) {
    http_response_code(403);
    exit(json_encode(['msg' => '身份验证失败']));
}

4. 核验地址是否为指定NFT当前持有者 #

签名验证通过后，后端直接从可信数据源查询该地址是否持有目标NFT，不要信任前端传的任何持有状态：

• 方案1：服务端调用OpenSea API查询目标NFT（合约地址+TokenID）的当前所有者，和已验签的地址做对比
• 方案2：对接ETH RPC节点，调用NFT合约的ownerOf方法直接查询持有者，数据更实时准确

核验通过后，给当前Session写入权限标记，设置合理的有效期（建议不超过24小时，避免用户转售NFT后权限长期有效）：

// 核验NFT持有状态通过后
$_SESSION['is_nft_holder'] = true;
$_SESSION['auth_expire'] = time() + 86400; // 24小时有效期

访问受限区域校验 #

用户访问专属功能路径时，后端统一校验Session中的权限标记和有效期，不符合要求直接拦截即可。

内容的提问来源于stack exchange，提问作者Oliver