sign 签名在客户端怎么保证安全（ios，android，web）

Question

S = key + url_encode(path) + T签名 SIGN = md5(S).to_lower()，to_lower 指将字符串转换为小写； 一般会这样签名API接口开发时，如果考虑到接口的安全和参数不可串改，通常做法一般是吧参数通过 一定的算法签名后把签名的 sign 值一起发给服务端，这样服务端也根据除去 sign 参数，把所有参数也经过签名后，判断客服端传递的 签名是否匹配。这样就解决了，但是有个问题，签名算法基本都一样，能做的就是签名时加上一个 key 值，但是这个key值放在客户端怎么保证安全呢。比如放在 web 端，js 代码是直接可以看得，这样肯定不安全，放在 android 上面貌似也不安全，因为 apk 是可以反编译的。有小伙伴解决过这个问题的么？

Answer 1

sign里存放的都是保密信息，比如用户的id或者其它用于验证api合法性的参数
接口的请求参数一般是不放在sign里的，直接明文传输用https加密通信过程就可以
sign是服务端加密后传给客户端存放，在请求api时带到服务端验证身份合法性的，里面不会有接口的请求信息，这两个是要分开的

Answer 2

加这些加密只能加大破解难度，没有100%的安全，哪怕你用RSA加密也是一样。防住大部分人就可以了。
你想一下，人家都能通过反编译猜测你的加密算法了，这还能是一般人？这种人一般防不住