PHP如何用顶象AI反欺诈_传行为数据调识别模型断异常【锐法】

2026-01-13

PHP如何用顶象AI反欺诈_传行为数据调识别模型断异常【锐法】

PHP调用顶象行为识别API需手动构造HTTP请求：严格按POST/n/v2/identify/n/n/n格式拼接签名字符串，使用毫秒级timestamp、正确计算content-md5与HMAC-SHA256签名，并确保touchPoints坐标归一化至0–1区间。

php如何用顶象ai反欺诈_传行为数据调识别模型断异常【锐法】

顶象 AI 反欺诈服务不提供公开的 PHP SDK，官方仅支持 Java、Python、Node.js 和 Android/iOS 原生接入；PHP 项目必须通过 HTTP POST 调用其行为数据识别 API，且需严格遵循签名规则，否则返回 401 Unauthorized 或 invalid signature 错误。

如何构造合法的 behaviorData 接口请求

顶象的「行为数据识别」接口地址为 https://api.dingxiang-inc.com/behavior/v2/identify，PHP 必须手动拼接 Authorization 头并计算 HMAC-SHA256 签名。关键点不是发不发得出去，而是签名字段顺序、编码方式、时间戳精度是否匹配服务端校验逻辑。

appKey 和 appSecret 必须从顶象控制台获取，不能硬编码在代码中，建议从环境变量读取
签名字符串格式为：POST/n/v2/identify/n/n/n（注意全部小写、换行符为 /n，无空格）
timestamp 必须是毫秒级 Unix 时间戳，与顶象服务器时间偏差不能超过 300 秒，PHP 中应使用 round(microtime(true) * 1000)
content-md5 是原始 JSON 请求体的 MD5 值（不含换行、空格），不是 base64 编码后的 MD5
请求头 Content-Type 必须设为 application/json; charset=utf-8，少一个分号或字符集都会被拒

{
    "appKey": "your_app_key_here",
    "timestamp": 1717023456789,
    "nonce": "a1b2c3d4e5f67890",
    "signature": "hmac-sha256-hex-string",
    "data": {
        "sessionId": "sess_abc123",
        "userId": "u_789",
        "ip": "119.123.45.67",
        "ua": "Mozilla/5.0 (iPhone; CPU iPhone OS 17_5 like Mac OS X) AppleWebKit/605.1.15",
        "screenWidth": 390,
        "screenHeight": 844,
        "touchPoints": [
            {"x": 120, "y": 340, "t": 1717023456780},
            {"x": 125, "y": 345, "t": 1717023456792}
        ]
    }
}

PHP 中计算 signature 的常见翻车点

PHP 的 hash_hmac() 默认输出二进制，但顶象要求的是十六进制小写字符串；同时，json_encode() 默认不转义中文、不移除空格，会导致 content-md5 计算错误。

务必用 JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES 选项编码请求体
content-md5 应对 json_encode($body, ...) 的原始字节流计算，不是对格式化后的 JSON 字符串
hash_hmac('sha256', $signStr, $appSecret, true) 第四个参数必须为 true，再用 bin2hex() 转成小写 hex
不要用 file_get_contents('php://input') 拼接签名字符串——那是接收端逻辑，PHP 发起方必须自己构造
测试时可用 curl -v 抓包，比对请求头中的 Authorization 是否与你本地计算的一致