如果指二次签名的话，在哪都行，和安全性没太多关系，可能在小程序端还更安全些，因为如果是在服务端生成的话，还要传送到小程序端，存在安全隐患；

但是从编程角度来看，放在服务端更简单洁，因为两次签名都是用的同一个算法，调用同一个签名函数，而小程序端的前端人员，并不需要知道一些key啊secret啊之类的参数。