如果指二次签名的话，在哪都行，和安全性没太多关系，可能在小程序端还更安全些，因为如果是在服务端生成的话，还要传送到小程序端，存在安全隐患；

但是从编程角度来看，放在服务端更简单洁，因为两次签名都是用的同一个算法，调用同一个签名函数，而小程序端的前端人员，并不需要知道一些key啊secret啊之类的参数。

首选服务端，客户端会存在安全问题。

如果选客户端，服务端要进行check。

服务端