为什么需要签名
在外部用户访问开放的api接口中，用户请求服务器的时候，会遇到以下问题：
请求身份是否合法
请求参数是否被篡改
请求的唯一性
为了保证数据在通信时的安全性，我们可以采用参数签名的方式来进行相关验证。
使用数据签名(常用Md5算法)
1.给app分配对应的key、secret
2.Sign签名，调用API 时需要对请求参数进行签名验证，签名方式如下：
a. 按照请求参数名称，将所有请求参数按照字母先后顺序排序合并，得到新的字符串。如：将arong=1,mrong=2,crong=3 排序为：arong=1, crong=3,mrong=2 然后将参数名和参数值进行拼接得到参数字符串：arong1crong3mrong2
b. 将secret加在参数字符串的头部后进行MD5加密 ,即得到签名sign。
此时新的api接口代码:
http://api.test.com/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&参数1=value1&参数2=value2.......
注：secret 仅作加密使用, 为了保证数据安全请不要在请求参数中使用。
如上，优化后的请求多了key和sign参数，这样请求的时候就需要合法的key和正确签名sign才可以获取产品数据。这样就解决了身份验证和防止参数篡改问题，如果请求参数被人拿走，也拿不到secret,因为secret是不传递的。再也无法伪造合法的请求。
但为了防止别人重复使用请求参数问题，我们需要保证请求的唯一性，就是对应请求只能使用一次，这样就算别人拿走了请求的完整链接也是无效的。唯一性的实现：在如上的请求参数中，我们加入时间戳 ：timestamp（yyyyMMddHHmmss），同样，时间戳作为请求参数之一，也加入sign算法中进行加密。
http://api.test.com/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35×tamp=201603261407&参数1=value1&参数2=value2...
如上，我们通过timestamp时间戳用来验证请求是否过期。这样就算被人拿走完整的请求链接也是无效的。
Sign签名安全性分析：
通过上面的案例，我们可以看出，安全的关键在于参与签名的secret，整个过程中secret是不参与通信的，所以只要保证secret不泄露，请求就不会被伪造。
上述的Sign签名的方式能够在一定程度上防止信息被篡改和伪造，保障通信的安全，这里使用的是MD5进行加密，当然实际使用中大家可以根据实际需求进行自定义签名算法，比如：RSA，SHA等