oauth2-Praxis in PHP

Dieser Artikel stellt die Praxis von oauth2 in PHP vor. Er wird hier mit allen geteilt und auch als Referenz für Bedürftige. Lassen Sie uns nun gemeinsam einen Blick auf oauth2 werfen löst das Problem:

Wenn beispielsweise ein Dritter einige Dienste über das Benutzerkonto und das Passwort erhält, führt dies leicht zu Datenlecks

1. Es ist notwendig, das Problem zu lösen, wie lang der Autorisierungszeitraum ist und wie groß der Autorisierungsumfang ist

2. Außerdem hat der Benutzer andere Anwendungen von Drittanbietern autorisiert Ändert sich das Passwort, wird die Drittanbieterfunktion ungültig

3. oauth2 vier Autorisierungsmethoden:

Der Client muss das des Benutzers erhalten Autorisierung (Autorisierungserteilung), um das Token (Zugriffstoken) zu erhalten. OAuth 2.0 definiert vier Autorisierungsmethoden.

Autorisierungscodemodus (Autorisierungscode)

• Vereinfachter Modus (implizit)

• Passwortmodus (Ressourcenbesitzer-Passwort-Anmeldeinformationen) Wir verwenden diesen

• Client-Modus (Client-Anmeldeinformationen)

• oauht2-Prozess

Der Benutzer greift auf den Client zu und der Client beantragt die Autorisierung durch den Benutzer

1. Der Benutzer erklärt sich mit der Autorisierung einverstanden

2. in der erhalten vorheriger Schritt Autorisierung, der Client beantragt ein Token vom Server

3. Nachdem der Server bestätigt hat, dass es korrekt ist, stellt er das Token an den Client aus

4. Der Client erhält das Token. Danach können Sie die entsprechenden Ressourcen vom Server beantragen

5. Nachdem der Server festgestellt hat, ob das Token bestätigt ist, öffnet er die Ressourcen für den Client für den Zugriff

6. Zusammenfassung: Tatsächlich handelt es sich beim zweiten Schritt oben um die 4 Autorisierungsmethoden, und diese Art der Autorisierung erfordert ein hohes Maß an Vertrauen Tatsächlich bedeutet es, das Benutzerkonto und das Passwort zum Server zu übertragen, um ein Token zu beantragen, und das Token dann an den Client zurückzugeben, wenn es korrekt ist.

Probleme sind aufgetreten:

1. Client-Zertifikat ungültig

Lösung:

{"error":"invalid_client","error_description":"The client credentials are invalid"}

ist die Datenbank vorhanden müssen zwei Parameter sein, client_id und client_screct

1. Bei der Anforderung muss der Körper die Werte dieser beiden Parameter mitbringen

2. 2. Verhindern Methode zum gleichzeitigen Anfordern einer Front-End-App
   1. Legen Sie die Konfiguration der RefreshToken-Klasse fest:

Referenzressourcen:

Offizielles Dokument

 $grantType1 = new RefreshToken($storage, array(            'always_issue_new_refresh_token' => false  #这个可以防止每次生成新的refresh_token
        ));

Github-URL

oauth-Implementierungslogik

oauth2 löst das Problem:

Wenn der Dritte beispielsweise einige Dienste über Benutzerkonten und Passwörter erhält, es kann leicht zu Undichtigkeiten führen

1. Sie müssen herausfinden, wie lange der Autorisierungszeitraum ist und wie groß der Autorisierungsumfang ist

2. Dort Es gibt auch andere Anwendungen von Drittanbietern, die von ihnen selbst autorisiert wurden. Wenn der Benutzer das Passwort ändert, schlagen die Funktionen von Drittanbietern fehl

3. oauth2 vier Autorisierungsmethoden:
   Der Client muss die Autorisierung des Benutzers (Autorisierungsgewährung) einholen, um das Token (Zugriffstoken) zu erhalten. OAuth 2.0 definiert vier Autorisierungsmethoden.

Autorisierungscodemodus (Autorisierungscode)

• Vereinfachter Modus (implizit)

• Passwortmodus (Ressourcenbesitzer-Passwort-Anmeldeinformationen) Wir verwenden diesen

• Client-Modus (Client-Anmeldeinformationen)

• oauht2-Prozess

Der Benutzer greift auf den Client zu und der Client beantragt die Autorisierung durch den Benutzer

1. Der Benutzer erklärt sich mit der Autorisierung einverstanden

2. in der erhalten vorheriger Schritt Autorisierung, der Client beantragt ein Token vom Server

3. Nachdem der Server bestätigt hat, dass es korrekt ist, stellt er das Token an den Client aus

4. Der Client erhält das Token. Danach können Sie die entsprechenden Ressourcen vom Server beantragen

5. Nachdem der Server festgestellt hat, ob das Token bestätigt ist, öffnet er die Ressourcen für den Client für den Zugriff

6. Zusammenfassung: Tatsächlich handelt es sich beim zweiten Schritt oben um die 4 Autorisierungsmethoden, und diese Art der Autorisierung erfordert ein hohes Maß an Vertrauen Tatsächlich bedeutet es, das Benutzerkonto und das Passwort zum Server zu übertragen, um ein Token zu beantragen, und das Token dann an den Client zurückzugeben, wenn es korrekt ist.

Probleme sind aufgetreten:

1. Client-Zertifikat ungültig

Lösung:

{"error":"invalid_client","error_description":"The client credentials are invalid"}

ist die Datenbank da müssen zwei Parameter sein, client_id und client_screct

1. Bei der Anforderung muss der Körper die Werte dieser beiden Parameter mitbringen

2. 2. Verhindern Methode zum gleichzeitigen Anfordern einer Front-End-App
   1. Legen Sie die Konfiguration der RefreshToken-Klasse fest:

Referenzressourcen:

Offizielle Dokumentation

 $grantType1 = new RefreshToken($storage, array(            'always_issue_new_refresh_token' => false  #这个可以防止每次生成新的refresh_token
        ));

Github-URL

Oauth-Implementierungslogik

Verwandte Empfehlungen:

PHP-Zugriff QQ Login OAuth2 .0 Während des Zeitraums sind Probleme aufgetreten

Das obige ist der detaillierte Inhalt vonoauth2-Praxis in PHP. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!