微信小程序+PHP 数据签名校验，防止被抓包篡改数据

背景

年前有款很火爆红包小程序，只要普通话标准，说对了口令即可领取红包。

在娱乐的过程中发现，小额的红包很轻松就可以领了，大额的无论怎么尝试也领不了，深入探究后发现里面有点猫腻，即后台可以设定领取红包的难度，以及可领取数量，大额的红包便成了营销手段，迅速吸粉等。好像岔开话题了，我们来言归正传。

领取的过程中顺便抓包看了一下请求的数据，发现安全那块做得不是很完善，发现有机可乘，便写了一个程序来篡改数据模拟说口令领红包。

后来和经理聊了一下这款小程序后，经理觉得可以复制一个，我们便开工进行开发了。开发的过程中需把安全这个问题考虑进去，因为涉及的都是金钱。

算法与代码

客户端+后端 校验数据完整性——签名

签名算法是参考微信支付签名的算法

小程序代码

/**
 * 签名
 * @param data        提交的数据
 * @param key         安全密钥
 * @returns {string}
 */
signature: function (data, key) {
    var n = null, d = {}, str = '', s = ''
    n = Object.keys(data).sort()
    for (var i in n) {
        d[n[i]] = data[n[i]]
    }
    for (var k in d) {
        if (d[k] === '') continue
        if (str != '') str += '&'
        str += k + '=' + encodeURI(d[k])
    }
    str += '&key=' + key
    s = util.hex_md5(str).toUpperCase() // 这儿是进行MD5加密并转大写
    return s
}

PHP代码

/**
 * 获取签名
 * @param $data 提交的数据
 * @param $key  安全密钥
 * @return bool
 */
function signature($data, $key) {
    ksort($data);
    $str = '';
    foreach ($data as $k => $v) {
        if ($v === '') continue;
        if ($str !== '') $str .= '&';
        if ('UTF-8' === mb_detect_encoding($v)) {
            $v = rawurlencode($v);
        }
        $str .= "{$k}={$v}";
    }
    $str .= '&key=' . $key;
    $signature = md5($str);
    $signature = strtoupper($signature);
    return $signature;
}

使用方法

小程序中封装一个网络请求函数，把生成签名的功能加进即可

PHP中在初始化的时候校验请求的数据以及签名，对比生成的签名是否一致，不一致返回错误，以下是PHP代码截图

最后说明一下签名密钥，这个是自己生成的，需要客户端+服务端一致，应该直接保存在小程序配置中，不能暴露！不能暴露！不能暴露！

没有百分百的安全，如果破解者懂得逆向工程的话，算法+密钥还是能被拿到的，但对于目前来说至少能给数据穿一件外衣。