有些平台是不对 http body 为 JSON 字符串格式进行签名（其实是消息认证、数字签名也有），例如 火币的部分 open-api。

如果想要对 JSON 字符串进行签名，可以剖析一下 HTTP 的请求格式

```
METHOD PATH[QUERY] HTTP 1.1
[HEADERS]
[BODY]
```

在**部分请求头不参与签名**情况下，对一个 HTTP 请求进行签名，第一步是整理出需要签名的原始内容，然后确保原始内容和内容格式，客户端和服务端都可以**轻易**获取和处理，例如一种可能的原始内容格式如下：

```
METHOD\n
PATH\n
QUERY\n
CONTENT-TYPE\n
PAYLOAD\n
NONCE
```

- `METHOD`: http 请求方法，例如 GET, POST 等
- `PATH`: 请求路径，例如 `/`, `/api/v1/time`
- `QUERY`: 查询字符串，例如 `?userId=1` 或者 `?userId=1&state=active`
- `CONTENT-TYPE`: http body 的格式，例如 `application/x-www-form-urlencoded`，或者：`application/json`
- `PAYLOAD`: http body，例如是表单，或者 JSON 字符
- `NONCE`：一般是时间戳，防止重放的

然后客户端使用 HMAC-SHA256 的消息认证算法进行签名，**并将签名的字符串放到请求头中**，服务端从请求头获取签名串，然后从请求按照上诉格式拼接处原始内容，在服务端再签名一次，比对两次的签名串是否一致，即可做到**验证签名**的效果。

由于签名串是放在请求头，而不是写回到 `QUERY`（查询字符串），所以不用在客户端重新排序 `QUERY` 或者表单，服务端也不用。

当然，这是其中一种处理方式，更多时候，可能是要求 客户端将 POST JSON 方式修改为 POST FORM，也就是将 JSON 格式转为表单中的一个字段，类似：`&json_payload={"a":"1", "b":"2"}`，然后在对其进行 url 编码。

可以看看如何在 spring 中处理 hmac 消息认证的，[qyvlik/spring-hmac-rest-verify]( https://github.com/qyvlik/spring-hmac-rest-verify)