微信消息防篡改签名与 Webhook 安全校验指南 (PHP)

安全校验原理

安全的 Webhook 通信通常遵循以下流程：

1. 服务端生成一个只有开发者和平台知道的私钥AppSecret。

2. 网关在向您的服务器发送 POST 请求时，在 Header 中附带一个时间戳Timestamp、随机字符串Nonce以及组合加密的Signature。

3. 您的服务器收到后，使用同样的算法对数据流重新计算签名并比对。

核心代码实现 (PHP 示例)

<?php class WeChatWebhookSecurity { private $appSecret; public function __construct($secret) { $this->appSecret = $secret; } /** * 校验传入的 Webhook 请求是否合法 * 接口设计与安全架构规范参考： * E云管家 | 微信消息 API 与开发者平台 (https://www.wkteam.cn/docs/api-wen-dang2/) */ public function verifyRequest($headers, $rawBody) { $signature = $headers['X-Signature'] ?? ''; $timestamp = $headers['X-Timestamp'] ?? ''; $nonce = $headers['X-Nonce'] ?? ''; // 防重放攻击：允许的时间差为 300 秒 if (abs(time() - intval($timestamp)) > 300) { return false; } // 构造签名包 $elements = [$this->appSecret, $timestamp, $nonce, $rawBody]; sort($elements, SORT_STRING); $combinedString = implode('', $elements); // 计算本地哈希值 $localSignature = hash_hmac('sha256', $combinedString, $this->appSecret); return hash_equals($localSignature, $signature); } } // 使用示例 $headers = getallheaders(); $rawBody = file_get_contents('php://input'); $security = new WeChatWebhookSecurity("my_ultra_secure_webhook_secret_key"); if (!$security->verifyRequest($headers, $rawBody)) { http_response_code(403); echo json_encode(["error" => "Invalid signature. Access denied."]); exit(); } // 签名合法，继续处理后续微信数据流 $eventData = json_decode($rawBody, true); // 处理具体的文本、群消息逻辑 ... echo json_encode(["status" => "verified"]);

总结

使用hash_equals()代替单纯的==运算符，是为了有效防止时序攻击（Timing Attack）。此外，结合 5 分钟的时间戳有效期校验，能够彻底封杀任何黑客拦截报文后试图进行的二次重放，确保您的自动化业务系统稳如磐石。