本文主要為大家介紹了關於yii2計畫實戰之restful api授權驗證的相關資料，文中介紹的非常詳細，對大家具有一定的參考學習價值，需要的朋友們下面來一起看看吧。希望對大家有幫助。
前言
這篇文章主要針對實際場景中api的部署來寫。
我們今天就來大大的侃侃那些年api遇到的授權驗證問題！
業務分析
我們先來了解整個邏輯
用戶在客戶端填寫登入表單
使用者提交表單，客戶端要求登入介面login
服務端校驗使用者的帳號密碼，並傳回一個有效的token給客戶端
客戶端拿到使用者的token，將之儲存在客戶端例如cookie中
客戶端攜帶token訪問需要校驗的介面例如取得用戶個人資訊介面
服務端校驗token的有效性，校驗通過，反正傳回客戶端所需的資訊，校驗失敗，需要用戶重新登入
本文我們以使用者登錄，取得使用者的個人資訊為例進行詳細的完整版說明。
以上，便是我們本篇文章要實現的重點。先別激動，也別緊張，分析好了之後，細節部分我們再一步一腳印走下去。
準備工作
#你應該要有一個api應用程式
-
對於客戶端，我們準備採用postman進行模擬，如果你的google瀏覽器還沒有安裝postman，請先自行下載
要測試的使用者表需要有一個api_token的字段，沒有的請先自行添加，並保證該字段足夠長度
api應用開啟了路由美化，並先配置post類型的login操作和get類型的signup-test操作
關閉了user元件的session會話
關於上面準備工作的第4點和第5點，我們貼一下程式碼方便理解
'components' => [
'user' => [
'identityClass' => 'common\models\User',
'enableAutoLogin' => true,
'enableSession' => false,
],
'urlManager' => [
'enablePrettyUrl' => true,
'showScriptName' => false,
'enableStrictParsing' => true,
'rules' => [
[
'class' => 'yii\rest\UrlRule',
'controller' => ['v1/user'],
'extraPatterns' => [
'POST login' => 'login',
'GET signup-test' => 'signup-test',
]
],
]
],
// ......
],
登入後複製
signup-test操作我們後面新增測試用戶，為登入操作提供便利。其他類型的操作後面看需要再做添加。
認證類別的選擇
我們在api\modules\v1\controllers\UserController中設定的model類指向common\models\User類，為了說明重點這裡我們就不單獨拿出來重寫了，看各位需要，有必要的話再單獨copy一個User類到api \models下。
校驗使用者權限我們以yii\filters\auth\QueryParamAuth 為例
use yii\filters\auth\QueryParamAuth;
public function behaviors()
{
return ArrayHelper::merge (parent::behaviors(), [
'authenticator' => [
'class' => QueryParamAuth::className()
]
] );
}登入後複製
如此一來，那豈不是所有存取user的操作都需要認證了？那不行，客戶端第一個存取login操作的時候哪來的token，yii\filters\auth\QueryParamAuth對外提供一個屬性，用於過濾不需要驗證的action。我們將UserController的behaviors方法稍作修改
public function behaviors()
{
return ArrayHelper::merge (parent::behaviors(), [
'authenticator' => [
'class' => QueryParamAuth::className(),
'optional' => [
'login',
'signup-test'
],
]
] );
}登入後複製
這樣login操作就無需權限驗證即可存取了。
新增測試使用者
為了避免讓客戶端登入失敗，我們先寫一個簡單的方法，往user表裡面插入兩條數據，方便接下來的校驗。
UserController增加signupTest操作，注意此方法不屬於講解範圍之內，我們只用於方便測試。
use common\models\User;
/**
* 添加测试用户
*/
public function actionSignupTest ()
{
$user = new User();
$user->generateAuthKey();
$user->setPassword('123456');
$user->username = '111';
$user->email = '111@111.com';
$user->save(false);
return [
'code' => 0
];
}登入後複製
如上，我們新增了一個username是111，密碼是123456的使用者
##登入動作
#假設使用者在客戶端輸入使用者名稱和密碼登入，服務端login操作其實很簡單，大部分的業務邏輯處理都在
api\models\loginForm上，來先看看login的實作
use api\models\LoginForm;
/**
* 登录
*/
public function actionLogin ()
{
$model = new LoginForm;
$model->setAttributes(Yii::$app->request->post());
if ($user = $model->login()) {
if ($user instanceof IdentityInterface) {
return $user->api_token;
} else {
return $user->errors;
}
} else {
return $model->errors;
}
}登入後複製
登入成功後這裡給客戶端回傳了使用者的token，再來看看登入的具體邏輯的實作
#新建api\models\LoginForm.PHP
<?php
namespace api\models;
use Yii;
use yii\base\Model;
use common\models\User;
/**
* Login form
*/
class LoginForm extends Model
{
public $username;
public $password;
private $_user;
const GET_API_TOKEN = 'generate_api_token';
public function init ()
{
parent::init();
$this->on(self::GET_API_TOKEN, [$this, 'onGenerateApiToken']);
}
/**
* @inheritdoc
* 对客户端表单数据进行验证的rule
*/
public function rules()
{
return [
[['username', 'password'], 'required'],
['password', 'validatePassword'],
];
}
/**
* 自定义的密码认证方法
*/
public function validatePassword($attribute, $params)
{
if (!$this->hasErrors()) {
$this->_user = $this->getUser();
if (!$this->_user || !$this->_user->validatePassword($this->password)) {
$this->addError($attribute, '用户名或密码错误.');
}
}
}
/**
* @inheritdoc
*/
public function attributeLabels()
{
return [
'username' => '用户名',
'password' => '密码',
];
}
/**
* Logs in a user using the provided username and password.
*
* @return boolean whether the user is logged in successfully
*/
public function login()
{
if ($this->validate()) {
$this->trigger(self::GET_API_TOKEN);
return $this->_user;
} else {
return null;
}
}
/**
* 根据用户名获取用户的认证信息
*
* @return User|null
*/
protected function getUser()
{
if ($this->_user === null) {
$this->_user = User::findByUsername($this->username);
}
return $this->_user;
}
/**
* 登录校验成功后，为用户生成新的token
* 如果token失效，则重新生成token
*/
public function onGenerateApiToken ()
{
if (!User::apiTokenIsValid($this->_user->api_token)) {
$this->_user->generateApiToken();
$this->_user->save(false);
}
}
}登入後複製
我們回過頭來看一下，當我們在UserController的login作業中呼叫LoginForm的login作業後都發生了什麼
1 、呼叫LoginForm的login方法
2、呼叫validate方法，隨後對rules進行校驗
3、rules校驗中呼叫validatePassword方法，對使用者名稱及密碼進行校驗
## 4、validatePassword方法校驗的過程中呼叫LoginForm的getUser方法，透過
common\models\User類別的findByUsername取得用戶，找不到或common\models\User類別的findByUsername取得用戶，找不到或common\models\User
#的validatePassword對密碼校驗失敗則回傳error###
5、触发LoginForm::GENERATE_API_TOKEN事件，调用LoginForm的onGenerateApiToken方法,通过common\models\User的apiTokenIsValid校验token的有效性，如果无效，则调用User的generateApiToken方法重新生成
注意：common\models\User类必须是用户的认证类，如果不知道如何创建完善该类，请围观这里 用户管理之user组件的配置
下面补充本节增加的common\models\User的相关方法
/**
* 生成 api_token
*/
public function generateApiToken()
{
$this->api_token = Yii::$app->security->generateRandomString() . '_' . time();
}
/**
* 校验api_token是否有效
*/
public static function apiTokenIsValid($token)
{
if (empty($token)) {
return false;
}
$timestamp = (int) substr($token, strrpos($token, '_') + 1);
$expire = Yii::$app->params['user.apiTokenExpire'];
return $timestamp + $expire >= time();
}登入後複製
继续补充apiTokenIsValid方法中涉及到的token有效期，在api\config\params.php文件内增加即可
<?php
return [
// ...
// token 有效期默认1天
'user.apiTokenExpire' => 1*24*3600,
];
登入後複製
到这里呢，客户端登录 服务端返回token给客户端就完成了。
按照文中一开始的分析，客户端应该把获取到的token存到本地，比如cookie中。以后再需要token校验的接口访问中，从本地读取比如从cookie中读取并访问接口即可。
根据token请求用户的认证操作
假设我们已经把获取到的token保存起来了，我们再以访问用户信息的接口为例。
yii\filters\auth\QueryParamAuth类认定的token参数是 access-token，我们可以在行为中修改下
public function behaviors()
{
return ArrayHelper::merge (parent::behaviors(), [
'authenticator' => [
'class' => QueryParamAuth::className(),
'tokenParam' => 'token',
'optional' => [
'login',
'signup-test'
],
]
] );
}登入後複製
这里将默认的access-token修改为token。
我们在配置文件的urlManager组件中增加对userProfile操作
'extraPatterns' => [
'POST login' => 'login',
'GET signup-test' => 'signup-test',
'GET user-profile' => 'user-profile',
]
登入後複製
我们用postman模拟请求访问下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145发现，抛出了一个异常
\"findIdentityByAccessToken\" is not implemented.<br/>
这是怎么回事呢？
我们找到 yii\filters\auth\QueryParamAuth 的authenticate方法，发现这里调用了 common\models\User类的loginByAccessToken方法，有同学疑惑了，common\models\User类没实现loginByAccessToken方法为啥说findIdentityByAccessToken方法没实现？如果你还记得common\models\User类实现了yii\web\user类的接口的话，你应该会打开yii\web\User类找答案。没错，loginByAccessToken方法在yii\web\User中实现了，该类中调用了common\models\User的findIdentityByAccessToken，但是我们看到，该方法中通过throw抛出了异常，也就是说这个方法要我们自己手动实现！
这好办了，我们就来实现下common\models\User类的findIdentityByAccessToken方法吧
public static function findIdentityByAccessToken($token, $type = null)
{
// 如果token无效的话，
if(!static::apiTokenIsValid($token)) {
throw new \yii\web\UnauthorizedHttpException("token is invalid.");
}
return static::findOne(['api_token' => $token, 'status' => self::STATUS_ACTIVE]);
// throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.');
}登入後複製
验证完token的有效性，下面就要开始实现主要的业务逻辑部分了。
/**
* 获取用户信息
*/
public function actionUserProfile ($token)
{
// 到这一步，token都认为是有效的了
// 下面只需要实现业务逻辑即可，下面仅仅作为案例，比如你可能需要关联其他表获取用户信息等等
$user = User::findIdentityByAccessToken($token);
return [
'id' => $user->id,
'username' => $user->username,
'email' => $user->email,
];
}登入後複製
服务端返回的数据类型定义
在postman中我们可以以何种数据类型输出的接口的数据，但是，有些人发现，当我们把postman模拟请求的地址copy到浏览器地址栏，返回的又却是xml格式了，而且我们明明在UserProfile操作中返回的是属组，怎么回事呢？
这其实是官方捣的鬼啦，我们一层层源码追下去，发现在yii\rest\Controller类中，有一个 contentNegotiator行为，该行为指定了允许返回的数据格式formats是json和xml，返回的最终的数据格式根据请求头中Accept包含的首先出现在formats中的为准，你可以在yii\filters\ContentNegotiator的negotiateContentType方法中找到答案。
你可以在浏览器的请求头中看到
Accept:
text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
即application/xml首先出现在formats中，所以返回的数据格式是xml类型，如果客户端获取到的数据格式想按照json进行解析，只需要设置请求头的Accept的值等于application/json即可
有同学可能要说，这样太麻烦了，啥年代了，谁还用xml，我就想服务端输出json格式的数据，怎么做？
办法就是用来解决问题滴，来看看怎么做。api\config\main.php文件中增加对response的配置
'response' => [
'class' => 'yii\web\Response',
'on beforeSend' => function ($event) {
$response = $event->sender;
$response->format = yii\web\Response::FORMAT_JSON;
},
],登入後複製
如此，不管你客户端传什么，服务端最终输出的都会是json格式的数据了。
自定义错误处理机制
再来看另外一个比较常见的问题：
你看我们上面几个方法哈，返回的结果是各式各样的，这样就给客户端解析增加了困扰，而且一旦有异常抛出，返回的代码还都是一堆一堆的，头疼，怎么办？
说到这个问题之前呢，我们先说一下yii中先关的异常处理类，当然，有很多哈。比如下面常见的一些，其他的自己去挖掘
yii\web\BadRequestHttpException
yii\web\ForbiddenHttpException
yii\web\NotFoundHttpException
yii\web\ServerErrorHttpException
yii\web\UnauthorizedHttpException
yii\web\TooManyRequestsHttpException
登入後複製
实际开发中各位要善于去利用这些类去捕获异常，抛出异常。说远了哈，我们回到重点，来说如何自定义接口异常响应或者叫自定义统一的数据格式，比如向下面这种配置，统一响应客户端的格式标准。
'response' => [
'class' => 'yii\web\Response',
'on beforeSend' => function ($event) {
$response = $event->sender;
$response->data = [
'code' => $response->getStatusCode(),
'data' => $response->data,
'message' => $response->statusText
];
$response->format = yii\web\Response::FORMAT_JSON;
},
],登入後複製
说道了那么多，本文就要结束了，刚开始接触的同学可能有一些蒙，不要蒙，慢慢消化，先知道这么个意思，了解下restful api接口在整个过程中是怎么用token授权的就好。这样真正实际用到的时候，你也能举一反三！
相关推荐：
Yii2整合迅搜实现高效中文分词检索
Yii如何过滤不良代码
Yii2实现rbac权限控制
以上是詳解yii2之restful api授權驗證的詳細內容。更多資訊請關注PHP中文網其他相關文章！
