服务器间时间差导致签名失败

发布时间:2026-02-03 08:55

## 症状 接口调用突然批量报签名无效，调用方与服务方各自自查签名算法与密钥，都没问题；同样的请求代码，部分机器成功部分机器失败。报错集中在跨服务器调用的场景，本地与同批次机器一切正常，问题呈现明显的按机器分布的特征。 ## 定位 签名里带时间戳的方案，服务端校验请求时间与服务器当前时间的偏差，超窗即拒绝。逐台核对时间。 ``` date; timedatectl ``` 对比调用方与服务方的输出，相差超过校验窗口，根因即确定。多台机器时写个循环批量取时间，偏差分布一屏看完。这类问题的触发场景很典型：某台机器重启后时间服务没起来，或时钟同步服务异常了很久没人发现，偏差悄悄积累到超过窗口，故障才集中爆发。按机器分布、算法与密钥都正确、时间戳参与签名，三个条件凑齐，先把时钟查一遍再谈别的。 ## 解决 先手动校准让业务恢复，再把同步服务修好。确认时间同步服务的状态，异常则重启并观察是否正常追随上级源；没有启用同步服务的机器，装一个并启用。校验窗口的宽度也值得复核：窗口给得极窄的配置，对时钟同步的要求就高，两边要匹配。修复后观察偏差曲线收敛到毫秒级，恢复即确认。 ## 预防 全部服务器统一部署时间同步，并在巡检里加一条时钟偏差检查，超过阈值就告警。参与签名的时间窗配置写进文档，调窄窗口前先确认时钟基建跟得上。跨服务器调用的故障排查手册里，把核对双方时间列为第一项，这一步只要十秒，却能把整整半天的错误方向排查省下来。顺云云服务器初始化模板里预置同步服务，批量开机即自动对时，从源头消掉这个变量。