PHP签名生成的通用步骤

签名生成的通用步骤如下

第一步，设所有发送或者接收到的数据为集合M，将集合M内非空参数值的参数按照参数名ASCII码从小到大排序（字典序），使用URL键值对的格式（即key1=value1&key2=value2…）拼接成字符串stringA。

特别注意以下重要规则：

参数名ASCII码从小到大排序（字典序）；
如果参数的值为空不参与签名；
参数名区分大小写；
sign参数不参与签名
files[]不参与签名

第二步，在stringA最后拼接上key得到stringSignTemp字符串，并对stringSignTemp进行MD5运算，得到sign值signValue。

签名示例:

第一步：对参数按照key=value的格式，并按照参数名ASCII字典序排序如下：
		stringA="parterId=1&nonceStr=sdfdsfdsfsdfsdfsdfsdfsdfsf&uid=3";
	第二步：拼接API密钥：
		stringSignTemp=stringA+"&key=19200625"
	第三步：加密
		sign=MD5(stringSignTemp)

###签名方法

<?php
function signCheck(array $info): string
{
	   $key='19200625';
		ksort($info);
		$string = '';
		 foreach ($info as $key => $v) {
				if (empty($val) || $key == 'sign') {
					continue;
				}
				$string .= $key . '=' . $v . '&';
   		 }
		if(get_magic_quotes_gpc()){
				$string = stripslashes($string);
		 }
		$token = md5($string .'key='.$key);
		return $token;
}

---

get_magic_quotes_gpc函数是一个用来判断是否为用户提供的数据增加斜线了，这个在php.ini配置文件中哦，

get_magic_quotes_gpc函数介绍

取得 PHP 环境变数 magic_quotes_gpc 的值，属于 PHP 系统功能。

语法: long get_magic_quotes_gpc(void);

返回值: 长整数

本函数取得 PHP 环境配置的变量 magic_quotes_gpc (GPC, Get/Post/Cookie) 值。返回 0 表示关闭本功能；返回 1 表示本功能打开。

当 magic_quotes_gpc 打开时，所有的 ‘ (单引号), ” (双引号), (反斜线) and 空字符会自动转为含有反斜线的溢出字符。

magic_quotes_gpc设置是否自动为GPC(get,post,cookie)传来的数据中的'”加上反斜线。可以用get_magic_quotes_gpc()检测系统设置。

如果没有打开这项设置，可以使用addslashes()函数添加，它的功能就是给数据库查询语句等的需要在某些字符前加上了反斜线。

这些字符是单引号（'）、双引号（”）、反斜线（）与 NUL（NULL 字符）。

默认情况下，PHP 指令 magic_quotes_gpc 为 on，它主要是对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。

不要对已经被 magic_quotes_gpc 转义过的字符串使用 addslashes()，因为这样会导致双层转义。遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。

例

利用 get_magic_quotes_gpc()预防数据库攻击的正确做法

代码如下

function check_input($value)
{
// 去除斜杠
	if (get_magic_quotes_gpc()){
		$value = stripslashes($value);
	}
// 如果不是数字则加引号
	if (!is_numeric($value)){
		$value = “‘” . mysql_real_escape_string($value) . “‘”;
	}
	return $value;
}


$con = mysql_connect(“localhost”, “hello”, “321″);
if (!$con){
	die(‘Could not connect: ‘ . mysql_error());
}

// 进行安全的 SQL
$user = check_input($_POST['user']);

$pwd = check_input($_POST['pwd']);

$sql = “SELECT * FROM users WHERE user = $user and password = $pwd”;

mysql_query($sql);

mysql_close($con);

总结如下：

1. 对于magic_quotes_gpc=on的情况，

我们可以不对输入和输出数据库的字符串数据作addslashes()和stripslashes()的操作,数据也会正常显示。

---

2. 对于magic_quotes_gpc=off 的情况

必须使用addslashes()对输入数据进行处理，但并不需要使用stripslashes()格式化输出

因为addslashes()并未将反斜杠一起写入数据库，只是帮助mysql完成了sql语句的执行