我目前正在尝试实现一个带有数字签名的最小REST API。
我理解的基本概念是，发送方使用HMAC使用其私钥对有效载荷进行签名，接收方使用公钥验证此签名。
然而，我在实现一个工作示例时遇到了一些困难。
我的API是用PHP实现的，客户端是用Python实现的。
我在PHP中验证请求如下

public function verify_request(Request $request)
{
    $method = $request->method();
    $timestamp = $request->header("timestamp");
    $public_key = $request->header("api-key");
    $signature = $request->header("signature");
    $url = $request->fullUrl();

    $data = $method.$timestamp.$url;

    $result = openssl_verify($data, $signature, $public_key, OPENSSL_ALGO_SHA256);
    Logger::info("Result : ".$result);
    return $result;
}

我已经在其他几个API上使用这个Python中的最小示例成功地签署了请求

import requests
import hashlib
import hmac
import time

public_key = ""
private_key = ""

method = "GET"
base_url = "https://testing-api.com"
endpoint = "/private/test"
url = base_url + endpoint
timestamp = str(int(time.time()))

signature_data = method + timestamp + url

signature = hmac.new(private_key.encode("utf-8"), signature_data.encode("utf-8"), hashlib.sha256).hexdigest()

headers = {
    "api-key": public_key,
    "timestamp": timestamp,
    "signature": signature,
}

response = requests.request(method, url, headers=headers)
print(response)

但是我不明白的是用的是什么样的钥匙。
例如，我生成的RSA密钥如下

public_key = """-----BEGIN PUBLIC KEY-----
MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAL7Jz6mHX1cau3wlc6QrGW+kcVHO0HPj
iwUDxdM1B8KSLgkfle4+Snq6HhOp5VXdQXZkYF4u9ctWbx/sB2oiD1sCAwEAAQ==
-----END PUBLIC KEY-----"""

private_key = """-----BEGIN PRIVATE KEY-----
MIIBUwIBADANBgkqhkiG9w0BAQEFAASCAT0wggE5AgEAAkEAvsnPqYdfVxq7fCVz
pCsZb6RxUc7Qc+OLBQPF0zUHwpIuCR+V7j5KeroeE6nlVd1BdmRgXi71y1ZvH+wH
aiIPWwIDAQABAkAnxyvkzLS0FH7Cg4x4zgOfo0l9JQGRJ//0K7UzM/tKNZOy881O
+qEDld7XMaUOmyGd/FxSskrJrzWTSqEZtQ8BAiEA7wsKUjGWFyTfuMkj/3/E0XI2
YYEaTRpROl4NN6FUttcCIQDMUnn7JDovxYlp17QhyOb41qc1I402QZ6zNiz33ytP
HQIgA2rr/drZo4ESdcjia9++x6PTZTd8Ucfji2sW00nKNUcCIFo7Oh9Mml2qcMrL
NYOOA2J0+RaggqYpSHqAPE+iwK+JAiB2YbMutRh5EDyTcI2ql/hYFLlAJVT/E1AN
/ItM1KCQQQ==
-----END PRIVATE KEY-----"""

但是它与我在其他几个API上测试的API密钥的格式不匹配，当我尝试将公钥传递到头中时，我得到了以下错误

requests.exceptions.InvalidHeader: Invalid return character or leading space in header: api-key

例如，在我测试的一个API上，密钥具有以下格式

public_key = "Tub3FH4CLjHezvRcSKdeE18a9VrtzL"
private_key = "tBssW3InKRq09OMLkveyuZ65LDRokjVX8FXO0CL5VpdaV73NWayUvJSSAtCs"

但是当我尝试使用这些API密钥登录到我的Python脚本时，我在PHP上遇到了以下错误

ErrorException: openssl_verify(): supplied key param cannot be coerced into a public key

所以我这里有两个关于API密钥格式的问题。
首先，我想知道这些API使用什么类型的键，这样我就可以将键作为简单的字符串而不是多行字符串。
其次，我想知道为什么openssl_verify不认为这些API密钥是正确的，因为我认为签名是如何验证的。

**编辑：**正如@Toppaco在他的回答中所说，我的问题来自这样一个事实，即我认为这些API使用非对称密钥，并且只保留公钥，而实际上他们使用两个不相关的密钥，一个用于身份验证，一个用于签名，因此我感到困惑。