事情发生在2022年10月1号，刚刚放假，正在外面吃饭，突然接到客诉说小程序出问题了，提示签名不对。后端没有更新过接口，小程序也是好几个月没有更新了，为啥早上突然返回说出问题了呢？

先粘贴下代码，然后简单说下小程序调用接口的签名逻辑：

//发送数据给接口

function send_to_api(msg, resolve, reject, loading = "") {

    var ActionTime = "";

    var msg_md5_3 = "";

    md5.getNow();

    var myDate = new Date;

    var year = myDate.getFullYear(); //获取当前年

    var mon = md5.getNow(myDate.getMonth() + 1); //获取当前月

    var date = md5.getNow(myDate.getDate()); //获取当前日

    var h = md5.getNow(myDate.getHours()); //获取当前小时数(0-23)

    var m = md5.getNow(myDate.getMinutes()); //获取当前分钟数(0-59)

    var s = md5.getNow(myDate.getSeconds()); //获取当前秒

    ActionTime = year + "-" + mon + "-" + date + " " + h + ":" + m + ":" + s;

    var msg_md5_1 = md5.hex_md5(msg.toLowerCase());

    //var msg_md5_2 = year + mon + date + msg_md5_1.toUpperCase() + h + m + s;

    var msg_md5_2 = year + "" + mon + "" + date + "" + msg_md5_1.toUpperCase() + "" + h + "" + m + "" + s;

    msg_md5_3 = md5.hex_md5(msg_md5_2).toUpperCase();

    console.log('send msg', msg)

    if (loading == "is_loading") {

        wx.showLoading({

            title: "加载中",

            mask: true

        });

    }

    wx.request({

        url: api_url,

        data: {

            Msg: msg,

            ActionK: msg_md5_3,

            ActionTime: ActionTime

        },

        header: {

            'custom-header': 'hello' //自定义请求头信息

        },

        success: function (res) {

            console.log('get msg', res.data)

            resolve(res)

        },

        fail: (err) => {

            console.log('发送请求失败:', err)

            reject(err)

        },

        complete: () => {

            //  关闭正在等待的图标，在这里关闭，有些问题，挪到了具体调用的方法里去了

            /*

            if (loading == "is_loading") {

                wx.hideLoading();

            }*/

        }

    })

}

Msg这个可以理解为消息体内容也就是业务参数：

[{"Action":"get_wxmp_code_2","WxAppID":"wxae483b80c6dd01d2","code":"001z8RFa1ifMYD0LiwIa1WsMtz3z8RFe"}]

ActionTime: 2022-10-01 17:15:35

ActionK:理解为签名

这三个参数发送给接口，接口方获取到这三个参数，根据actionk是客户端时间，在获取服务器时间，两者做减法超过多长时间就认为客户端时间不正确，返回错误代码，然后是把获取到的消息体，根据事先和客户端协定的算法，计算出来一个字符串，判断客户去传过去的actionk和自己算出来是否一致，不一致就报错签名不对，证明数据被篡改过。

今天这次问题就出现在签名的计算上面了。下面说下签名的计算算法：

第一步：msg先转化为小写字母，然后在md5出来一个摘要，比如 ****

第二部：把这个摘要转化成大写，然后签名拼接年月日后面拼接时分秒。20221001***172930

第三步：然后在md5上面这个值，然后在转化成大写，得到最终的签名。AFA3348A692562B49F8CCED623246877

综上所述，意思就是消息体经过算法得到签名，运算中没有秘钥，但是签名算法不会被公开（客户端是小程序，如果是web那就不行了，web只能选择token，因为无论是算法还是秘钥都能被查询到），所以也能实现数据无法篡改的业务需求。

问题出现在第二步js的字符串拼接，+号惹的祸。哈哈分析下代码接下来：

var msg_md5_2 = year + mon + date + msg_md5_1.toUpperCase() + h + m + s;

这个加号在js里面即可以是运算符的加法，也可以是字符串拼接。根据程序的直觉，这个第二个步骤应该是字符串拼接，不是加法。

先说为啥9月30号为啥没事。10月1号就突然崩溃了呢

2022+09+30 里面的09是个字符串不是数字，所以这个的结果是20220930

2022+10+01 这个的结果是203201，2022+10，js认为两个都是数字，所以是2032+01，又认为01是字符串，所以后半部分是字符串拼接，最终结果是203201，而这里服务端语言计算出来的是20221001，这里出现了偏差。

解决方案就是在+中间故意拼接一个空字符串，也就是让js强转字符串。当然也可以在拼接的最前面先拼接一个空字符串，这样后面怎么拼接都是字符串的拼接了就。

var msg_md5_2 = ””+year + mon + date + msg_md5_1.toUpperCase() + h + m + s;

最后结论：这个小程序只能在每年的01月份-09月份运行，超过10月份就签名错误了。