API 接口签名验证：3 个通用步骤，彻底解决签名失败问题

对接 API 时，签名验证失败是高频坑 —— 参数拼接错、加密方式不对、编码混乱，反复调试浪费时间！分享 3 个通用实现步骤，适配所有需要签名的电商 API 平台，看完就能生成有效签名，不再踩坑。

1. 参数标准化处理，避免基础错误所有请求参数（排除 sign 本身）按参数名 ASCII 码升序排列，剔除空值参数，统一字段格式（如数字不加引号、日期统一为 yyyy-MM-dd）。❌ 错误：params={app_key:"123", num_iid:"", page:2}（包含空值 num_iid）✅ 正确：排序后保留 app_key、page，剔除空值，参数格式统一。
2. 固定拼接规则，不遗漏核心要素按「key=value&key=value」拼接排序后的参数，末尾直接拼接 AppSecret（无额外符号 / 空格），编码统一用UTF-8（避免中文乱码）。✅ 正确示例：app_key=123&page=2+AppSecret（如 abc123）→ 完整拼接串：app_key=123&page=2abc123❌ 错误：多拼接 & 符号（app_key=123&&page=2abc123）、中文未编码（name = 张三→未转 UTF-8）。
3. 匹配加密方式，生成有效签名严格按 API 平台要求选择加密方式（90% 为 MD5，部分为 SHA256），加密后生成对应格式字符串（MD5 为 32 位小写），直接作为 sign 参数传入请求，无需额外转码。✅ 代码示例（PHP）：

php

运行

function generateSign($params, $appSecret) {
    ksort($params); // 排序
    $signStr = http_build_query($params) . $appSecret; // 拼接
    return strtolower(md5($signStr)); // 加密
}

避坑关键：签名必须包含所有请求参数（包括 cache、lang 等控制参数），切勿仅拼接必填参数；AppSecret 仅在后端存储，禁止暴露在前端代码。

你们对接 API 时，有没有遇到过 “签名一直验证失败” 的情况？评论区留报错信息，帮你排查～