php介面的token詳解

小云云
發布: 2023-03-21 18:58:02
原創
11182 人瀏覽過


本文主要和大家分享php介面的token詳解,希望能幫助大家。我們先來了解介面特性彙總:

介面特性彙總:

1、因為是非開放性的,所以所有的介面都是封閉的,只對公司內部的產品有效;

2、因為是非開放性的,所以OAuth那套協定是行不通的,因為沒有中間使用者的授權過程;

3、有點介面需要使用者登入才能訪問;

4、有點介面不需要使用者登入就可存取;

PHP Token(令牌)

針對以上特點,行動端與服務端的通訊就需要2把鑰匙,也就是2個token。

第一個token是針對介面的(api_token);
第二個token是針對使用者的(user_token);

先說第一個token(api_token)

它的職責是保持介面存取的隱藏性和有效性,保證介面只能給自家人用,怎麼做?參考想法如下:
依照伺服器端和客戶端都擁有的共同屬性產生一個隨機字串,客戶端產生這個字串,伺服器也按同樣演算法產生一個字串,用來校驗客戶端的字串。

現在的介面基本上是mvc模式,URL基本上是restful風格,URL大致格式如下:
http://blog.snsgou.com/模組名稱/控制器名稱/方法名稱?參數名1=參數值1&參數名稱2=參數值2&參數名稱3=參數值3
介面token產生規則參考如下:
api_token = md5 ('模組名稱' + '控制器名稱' + '方法名' + '2013-12-18' + '加密金鑰') = 770fed4ca2aabd20ae9a5dd774711de2
其中的 
1、 '2013-12-18' 為當天時間,
2、'##1、 '2013-12-18' 為當天時間,
2、'加密密鑰' 為私有的加密金鑰,手機端需要在服務端註冊一個「介面使用者」帳號後,系統會分配一個帳號及密碼,資料表設計參考如下:
欄位名字段類型註解 
client_id varchar( 20) 用戶端ID 
client_secret varchar(20) 用戶端(加密)金鑰 

服務端介面校驗,PHP實作流程如下:

<?php   
// 1、获取 GET参数 值   
$module = $_GET[&#39;mod&#39;]; $controller = $_GET[&#39;ctl&#39;]   
$action = $_GET[&#39;act&#39;]; $client_id = $_GET[&#39;client_id&#39;];   
$api_token = $_GET[&#39;api_token‘];   
// 2、根据客户端传过来的 client_id ,查询数据库,获取对应的 client_secret   
$client_secret = getClientSecretById($client_id);   
// 3、服务端重新生成一份 api_token   
$api_token_server = md5($module . $controller . $action .  date(&#39;Y-m-d&#39;, time()) .  $client_secret);   
// 4、客户端传过来的 api_token 与服务端生成的 api_token 进行校对,如果不相等,则表示验证失败   
if ($api_token != $api_token_server) {   
    exit(&#39;access deny&#39;);  // 拒绝访问 } // 5、验证通过,返回数据给客户端    
?>
登入後複製

再說第二個token(user_token)


它的職責是保護使用者的使用者名稱及密碼多次提交,以防密碼外洩。

如果介面需要使用者登錄,其存取流程如下:
1、使用者提交“使用者名稱”和“密碼”,實現登入(條件允許,這一步最好走https);
2.登入成功後,服務端回傳一個user_token,生成規則參考如下:
user_token = md5('用戶的uid' + 'Unix時間戳記') = etye0fgkgk4ca2aabd20ae9a5dd77471fgf
服務端以資料表維護2aabd20ae9a5dd77471fgf
服務端以資料表維護,表設計如下:
字段名字段類型註釋 
user_id int 用戶ID 
user_token varchar(36) 用戶token 
expire_time int 過期時間(Unix時間戳) 
(註:只列出了核心字段,其它的再擴展吧!!!)


服務端生成user_token 後,返回給客戶端(自己存儲),客戶端每次接口請求時,如果介面需要使用者登入才能訪問,則需要把user_id 與user_token 傳回給服務端,服務端接受到這2個參數後,需要做以下幾步:

1、檢測api_token的有效性;

2、刪除過期的user_token 表記錄;

3、根據user_id,user_token 取得表記錄,如果表記錄不存在,直接傳回錯誤,如果記錄存在,則進行下一步;

4、更新user_token 的過期時間(延期,保證其有效期內連續操作不斷線);

5、返回介面資料;





#####################################介面用例如下:#########請求方式:  POST###POST參數:title=我是標題&content=我是內容###回傳資料:######
{       &#39;code&#39; => 1, 
// 1:成功 0:失败      
&#39;msg&#39; => &#39;操作成功&#39; 
// 登录失败、无权访问     
 &#39;data&#39; => []
 }
登入後複製
#### ##如何防止token劫持? ######

token肯定會有洩漏的問題。例如我拿到你的手機,把你的token拷出來,在過期之前就都可以以你的身分在別的地方登入。
解決這個問題的一個簡單方法
1、在儲存的時候把token進行對稱加密存儲,用時解開。
2、將請求URL、時間戳記、token三者進行合併加鹽簽名,服務端校驗有效性。
這兩種辦法的出發點都是:竊取你儲存的資料較為容易,而反組譯你的程式hack你的加密解密和簽章演算法是比較難的。然而其實說難也不難,所以終究是防君子不防小人的做法。

相關推薦:

PHP實作Token的實例方法

詳解app介面之token

微信小程式url與token如何設定

以上是php介面的token詳解的詳細內容。更多資訊請關注PHP中文網其他相關文章!

相關標籤:
來源:php.cn
本網站聲明
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn
熱門教學
更多>
最新下載
更多>
網站特效
網站源碼
網站素材
前端模板
關於我們 免責聲明 Sitemap
PHP中文網:公益線上PHP培訓,幫助PHP學習者快速成長!