php openssl_verify安全实践：确保你的数据验证流程万无一失。

发布日期： 2025-10-19 阅读量： 作者： admin

得，今天就来聊聊我前段时间折腾 `php openssl_verify` 这个函数的经历。主要是当时对接一个第三方的回调通知，对方要求我们这边验证请求是不是他们发的，防止有人伪造，数据安全嘛

一开始拿到对接文档，看到签名验证这块儿，心里就嘀咕，这玩意儿以前没怎么碰过。文档里提到了他们会用私钥对要发送的数据搞个签名，然后把签名跟着数据一起发过来，我们这边需要用他们提供的公钥来验证这个签名对不对得上。

翻了翻PHP手册，找到了 `openssl_verify` 这个函数，看介绍，功能正好对口。它需要几个参数：原始数据、签名、公钥，还有一个可选的签名算法。看着挺简单，感觉应该不难。

第一步，准备工作。

我先把对方提供的公钥保存成了一个 `.pem` 文件。这里得注意，公钥的格式得对，一般就是那个有 `-----BEGIN PUBLIC KEY-----` 和 `-----END PUBLIC KEY-----` 包裹的文本。我检查了好几遍，确保没有多余的空格或者换行符，就怕这种小细节出错。

然后就是等着接收对方的回调了。为了方便调试，我先写了个简单的接收脚本，把收到的所有东西，包括 `POST` 过来的数据、`Header` 啥的，都记到日志里。

第二步，尝试验证。

等对方的第一个通知过来后，我就把日志里的数据扒拉出来，开始写验证的代码。大概是这样：

php

// 假设 $received_data 是收到的原始数据字符串

// 假设 $received_signature 是收到的签名字符串，通常是base64编码的

// 假设 $public_key_path 是我保存公钥文件的路径

$public_key = file_get_contents($public_key_path);

$pkey_id = openssl_pkey_get_public($public_key);

// 签名通常是base64编码的，要先解码

$signature = base64_decode($received_signature);

// 重点来了，调用验证函数

$is_valid = openssl_verify($received_data, $signature, $pkey_id, OPENSSL_ALGO_SHA256); // 文档说用SHA256

// 清理资源

openssl_free_key($pkey_id);

if ($is_valid === 1) {

// 验证成功

echo "签名验证成功！";

} elseif ($is_valid === 0) {

// 验证失败

echo "签名验证失败！";

} else {

// 出错了

echo "验证过程中出错：" . openssl_error_string();

写完跑了一下，直接给我返回了个 `0`，验证失败！

第三步，排查问题。

失败了就得找原因。我当时有点懵，感觉代码逻辑没错。然后就开始一步步排查：

公钥问题？ 我又确认了一遍公钥文件内容，格式没问题。用 `openssl_pkey_get_public` 函数也能成功加载，说明PHP认这个key。
签名解码问题？ 确认了对方传来的签名确实是base64编码的，也用了 `base64_decode`。
算法问题？ 文档写的是SHA256，代码里用的 `OPENSSL_ALGO_SHA256`，应该也对得上。
原始数据问题？ 这个是最麻烦的。对方文档里写的是对“请求体原文”进行签名。但我收到的请求体是个JSON字符串。问题是，这个JSON字符串在传输过程中，或者我接收处理时，会不会有细微变化？比如多了个空格，或者字段顺序变了？

我怀疑是原始数据对不上。于是我把接收到的原始请求体（就是 `file_get_contents('php://input')` 拿到的那个）原封不动地记录下来，确保没有经过任何PHP的 `$_POST` 处理或者 `json_decode` 再 `json_encode` 之类的操作。直接用这个最原始的字符串去 `openssl_verify`。

又试了一次，还是失败！

没办法，只能厚着脸皮去找对方的技术支持问问，他们签名的原文到底是啥样的。结果对方回复说，他们是把POST过来的表单参数，按照字母顺序排序，然后用 `key=value&key2=value2` 这种形式拼接起来，再进行签名的。

第四步，修正数据，再次尝试。

嚯，原来是这样！跟我之前直接用整个请求体JSON字符串或者原始 `php://input` 去验完全不一样。

我赶紧改代码，按照他们说的方式：

接收到POST请求后，拿到所有参数（比如 `$_POST` 数组）。
把这些参数按照键（key）的字母顺序排序。
遍历排序后的数组，拼接成 `key1=value1&key2=value2...` 格式的字符串。注意，value要做urlencode，但他们文档没提，我就先没加，不行再说。
用这个拼接好的字符串作为 `$received_data` 去调用 `openssl_verify`。

改完代码，重新触发了一次回调。这回`openssl_verify` 终于返回了 `1`！验证成功了！

实践总结

这回用 `openssl_verify` 的经历，真是让我体会到细节的重要性。要注意这么几点：

公钥格式要对：必须是PHP `openssl` 扩展能识别的格式，通常是PEM。
签名要处理对：如果签名是base64编码的，记得先解码。
算法要匹配：`openssl_verify` 的一个参数（签名算法）必须跟对方生成

上一篇: 沃云香港云服务器怎么选？配置推荐看这里

下一篇: ai域名后缀注册全攻略，看完这篇就够了！

php openssl_verify安全实践：确保你的数据验证流程万无一失。

随便看看