基于OpenSSL与PHP的服务器间API通信签名验证相关问题咨询

1. 报错修复方案 #

你遇到的$data未定义报错核心原因是发送端没有将加密后的数据传递给API端，同时签名解码逻辑也不匹配，按以下步骤修改即可：

• 第一步：修改网站1的请求逻辑，把加密后的$data也传递到API端，同时对参数做urlencode处理避免特殊字符转义问题：
  原代码：

  $url = "http://localhost/api/api.php?binary_signature=".$binary_signature;
  

  修改为：

  // 新增base64_url解码函数，后面API端也要用
  function base64_url_decode($input) {
      return base64_decode(strtr($input, '-_,', '+/='));
  }
  // 把加密后的$data也传到接口
  $url = "http://localhost/api/api.php?binary_signature=".urlencode($binary_signature)."&data=".urlencode($data);
  

• 第二步：修改网站2的API代码，接收传递过来的$data，同时对签名做匹配的base64_url解码：
  新增/修改代码如下：

  function base64_url_decode($input) {
      return base64_decode(strtr($input, '-_,', '+/='));
  }
  if (isset($_GET['binary_signature'], $_GET['data']) && $_GET['binary_signature']!= "" && $_GET['data']!= "") {
      $signature = $_GET['binary_signature'];
      $data = $_GET['data']; // 接收传递过来的data参数，解决未定义报错
      $signature = base64_url_decode($signature); // 用对应的url解码逻辑处理签名
      // 现在验签就不会报错了
      $ok = openssl_verify($data, $signature, $public_key, OPENSSL_ALGO_SHA256);
  }
  

2. 签名验证与数据解包的优化方案 #

你当前的实现可以从以下几个维度优化，符合生产环境最佳实践：

• 传输方式优化：不要用GET传递敏感数据，URL会被各级服务日志记录，改成POST方式传参，安全性更高。
• 密钥管理优化：不要把私钥硬编码在代码中，存放在Web根目录以外的独立文件中，设置文件权限仅PHP进程可读取，生产环境禁止把密钥提交到代码仓库。
• 防重放攻击：传输参数新增时间戳和随机nonce字段，签名时把这两个字段也加入签名内容，API端校验时间戳是否在10分钟有效区间内，同时校验nonce是否已经使用过，避免请求被截获后重放。
• 加密效率优化：RSA加密长度有限（1024位密钥最多加密117字节数据），如果后续要传输大体积数据，改用混合加密方案：随机生成AES密钥加密业务数据，用对方公钥加密AES密钥后一起传输，API端先用私钥解密得到AES密钥，再解密业务数据，加密解密效率远高于直接用RSA加密业务数据。
• 错误逻辑完善：补充参数缺失、验签失败、解密失败的返回逻辑，对应返回400、403等标准HTTP状态码，方便调用端排查问题。

3. 验签流程是否可以用OAuth2简化 #

完全可以。你当前的场景是无用户参与的服务到服务通信，刚好适配OAuth2的客户端凭证（Client Credentials）模式：

• 你不需要自己实现加解密、签名验签的全链路逻辑，主流PHP框架（Laravel、Symfony等）都有成熟的OAuth2服务端和客户端组件，直接配置即可使用。
• 只需要给网站1分配唯一的client_id和client_secret，网站1每次请求API前先拿凭证换access_token，后续请求携带token即可完成身份校验，逻辑更简单，出现安全漏洞的概率远低于自己实现的加密逻辑。
• 如果你的业务对数据传输安全性要求极高，需要对业务数据本身也做加密，也可以在OAuth2的基础上叠加之前的加密逻辑，兼顾易用性和安全性。

内容的提问来源于stack exchange，提问作者user1609391