mp_audio_manage/config/sign.php

<?php

/**
 * 接口签名（防篡改 / 防重放）配置
 *
 * 签名串格式：
 *     {METHOD}|{PATH}|{X-Time}|{X-Nonce}|d-token={d-token}
 * 示例：
 *     POST|/api/anime/detail|1737280000|a1b2c3d4e5|d-token=3f2a...
 *
 * 签名算法：HMAC-SHA256(签名串, SIGN_SALT)（输出小写 hex，64 位）
 * 请求头  ：X-Time / X-Nonce / X-Sign
 *
 * 注意：salt 会下发到前端，因此它不是真正的秘密。该签名的价值在于
 *      防参数篡改、防重放（配合 nonce 去重与时间窗）以及抬高脚本调用门槛，
 *      接口的最终权限仍由 token 鉴权与资源归属校验保证。
 */
return [

    // 总开关（对应 .env 中的 CHECK_SIGN）
    'enabled' => (bool)env('CHECK_SIGN', false),

    // 签名盐
    'salt' => (string)env('SIGN_SALT', '352bb5074767ca21fb7204bf47e5dba5fb4302a322d62308da6c7a06badd18d9'),

    // 时间窗（秒）：请求时间与本机时间的最大允许偏差
    'ttl' => (int)env('SIGN_TTL', 180),

    // 是否对 nonce 去重（防重放）：同一 nonce 在时间窗内只允许使用一次，依赖 Redis
    'nonce_unique' => (bool)env('SIGN_NONCE_UNIQUE', true),

    /*
    | 免验签白名单：命中的用户 / 公司跳过验签（用于内部账号灰度或线上排障）
    | 多个用逗号分隔，例如 SIGN_SKIP_UIDS=1,2  SIGN_SKIP_CPIDS=1
    | 留空表示不跳过任何账号
    */
    'skip_uids'  => array_values(array_filter(array_map('intval', explode(',', (string)env('SIGN_SKIP_UIDS', ''))))),
    'skip_cpids' => array_values(array_filter(array_map('intval', explode(',', (string)env('SIGN_SKIP_CPIDS', ''))))),

    // 签名算法（hash_hmac 支持的算法）
    'algo' => (string)env('SIGN_ALGO', 'sha256'),

];