企微机器人回调验签失败 signature 不匹配，最优先排查 Token 配置一致性与服务器时间偏差，其次检查签名算法中的参数排序与加密密钥格式。适用场景为自建应用或智能机器人回调配置，风险边界在于反向代理可能篡改请求参数导致签名源数据变化。
先说结论：验签失败通常由 Token 不一致、时间戳偏差超过 5 分钟或签名算法实现错误导致，需按顺序排查配置与代码逻辑。
- 先确认：企业微信后台填写的 Token 与代码配置完全一致，且无不可见字符。
- 先处理：校准服务器时间，确保与标准时间差不超过 5 分钟。
- 再验证：使用官方加解密库或标准 SHA1 算法重新生成签名比对。
快速处理思路
若无法立即修改代码，先检查企业微信管理后台「应用管理」中回调 URL 与 Token 是否复制完整，确认服务器系统时间是否同步。
为什么会这样
验签本质是企业微信服务器与开发者服务器之间的加密握手，任何参数差异都会导致哈希值不匹配。
企业微信回调机制分为首次 URL 校验（GET）与后续事件通知（POST），核心依赖 msg_signature、timestamp、nonce 和 echostr 四个参数。签名生成需对 token、timestamp、nonce 和 encrypt_msg 排序后做 SHA1 哈希，顺序错误或时间偏差均会导致校验失败。
分步处理
1. 核对 Token 与 URL 一致性
动作：登录企业微信管理后台，进入「应用管理」→「智能机器人」→「编辑」，复制 Token 字段。
检查点：确保代码中配置的 Token 与后台完全一致，区分大小写，排除空格或换行符。
2. 检查服务器时间偏差
动作：在服务器执行 date 命令查看当前时间。
检查点：企微要求服务器时间与标准时间差不超过 5 分钟，偏差过大会被视为无效请求。
3. 验证签名算法实现
动作：检查代码中签名生成逻辑，确认参数是否按字典序排序。
检查点：签名需对 token、timestamp、nonce 和 encrypt_msg 排序后 SHA1 哈希，顺序错误即导致不匹配。
4. 确认 EncodingAESKey 格式
动作：检查密钥是否为 43 位字符的 base64 字符串。
检查点：若长度不符或包含非法字符，解密失败会引发 InvalidKeyException。
怎么验证是否生效
在企业微信后台点击「验证」按钮，若页面提示「验证成功」且无报错日志，即表示配置生效。
也可使用 curl 命令模拟 GET 请求测试接口连通性，观察返回状态码是否为 200 且响应体包含解密后的 echostr。
常见坑
1. 反向代理篡改请求：Nginx 等反向代理可能重写 Header 或 Body，破坏原始数据完整性，导致签名校验失败。
2. 未返回明文 echostr：首次验证时需原样返回解密后的 echostr，若返回格式错误或未返回，校验失败。
3. HTTPS 证书异常：回调 URL 必须为 HTTPS，且 SSL 证书需可信，自签名证书将被拒绝。
4. 参数大小写敏感：JS-SDK 签名中 noncestr 需为小写，若使用驼峰命名会导致 invalid signature 错误。
常见问题
服务器时间偏差多少会导致验签失败？
企业微信要求服务器时间与标准时间差不超过 5 分钟，超过此范围视为无效请求。
回调 URL 必须使用 HTTPS 吗？
是，回调 URL 必须为 HTTPS 且证书可信，使用 HTTP 或自签名证书将直接触发验证失败。
EncodingAESKey 长度是多少？
该密钥应为 43 位字符的 base64 字符串，长度不符或包含非法字符会导致解密失败。
首次验证需要返回什么内容？
首次验证时需原样返回解密后的 echostr 明文，否则校验失败。
参考来源
- 企微回调接口验签失败如何排查？
- WorkBuddy 绑定企微报错提示验证失败如何解决_检查 URL 与 Token 一致性
- 企微 API 外部调试时如何解决"invalid signature"签名错误？_编程语言-CSDN 问答
- 避坑指南：企业微信回调接口验证失败的 6 个常见原因及解决方法 (Cpolar 版)
- 企业微信回调 InvalidKeyException 排查:EncodingAESKey 配置与解密原理详解-CSDN 博客
- Dify 与 AstrBot 企业微信消息回调配置失败