把 Token 加入签名内容的签名，可以防止 Token 明文传输。把 Timestamp 加进签名内容可以防重放攻击。

不过如果依赖于 HTTPS （这里需要注意证书），这两都可以不要。我觉得可能现在还这么做的大厂，惯性更多一点吧，毕竟代码已经写好了，可以跑了，改设计，没必要。