1、因為是非開放性的，所以所有的介面都是封閉的，只對公司內部的產品有效；
2、因為是非開放性的，所以OAuth那套協定是行不通的，因為沒有中間使用者的授權過程；
3、有點介面需要使用者登入才能訪問;
4、有點介面不需要使用者登入就可存取；
針對以上特點，行動端與服務端的通訊就需要2把鑰匙，也就是2個token。
第一個token是針對介面的（api_token）；
第二個token是針對使用者的（user_token）；
它的職責是保持介面存取的隱藏性和有效性，保證介面只能給自家人用，怎麼做？參考想法如下：
依照伺服器端和客戶端都擁有的共同屬性產生一個隨機字串，客戶端產生這個字串，伺服器也按同樣演算法產生一個字串，用來校驗客戶端的字串。
現在的介面基本上是mvc模式，URL基本上是restful風格，URL大致格式如下：
http://blog.snsgou.com/模組名稱/控制器名稱/方法名稱?參數名1=參數值1&參數名稱2=參數值2&參數名稱3=參數值3
介面token產生規則參考如下：
api_token = md5 ('模組名稱' + '控制器名稱' + '方法名' + '2013-12-18' + '加密金鑰') = 770fed4ca2aabd20ae9a5dd774711de2
其中的
1、 '2013-12-18' 為當天時間，
2、'##1、 '2013-12-18' 為當天時間，
2、'加密密鑰' 為私有的加密金鑰，手機端需要在服務端註冊一個「介面使用者」帳號後，系統會分配一個帳號及密碼，資料表設計參考如下：
欄位名字段類型註解
client_id varchar( 20) 用戶端ID
client_secret varchar(20) 用戶端(加密)金鑰
<?php
// 1、获取 GET参数 值
$module = $_GET['mod']; $controller = $_GET['ctl']
$action = $_GET['act']; $client_id = $_GET['client_id'];
$api_token = $_GET['api_token‘];
// 2、根据客户端传过来的 client_id ，查询数据库，获取对应的 client_secret
$client_secret = getClientSecretById($client_id);
// 3、服务端重新生成一份 api_token
$api_token_server = md5($module . $controller . $action . date('Y-m-d', time()) . $client_secret);
// 4、客户端传过来的 api_token 与服务端生成的 api_token 进行校对，如果不相等，则表示验证失败
if ($api_token != $api_token_server) {
exit('access deny'); // 拒绝访问 } // 5、验证通过，返回数据给客户端
?>
它的職責是保護使用者的使用者名稱及密碼多次提交，以防密碼外洩。
如果介面需要使用者登錄，其存取流程如下：
1、使用者提交“使用者名稱”和“密碼”，實現登入（條件允許，這一步最好走https）；
2.登入成功後，服務端回傳一個user_token，生成規則參考如下：
user_token = md5('用戶的uid' + 'Unix時間戳記') = etye0fgkgk4ca2aabd20ae9a5dd77471fgf
服務端以資料表維護2aabd20ae9a5dd77471fgf
服務端以資料表維護，表設計如下：
字段名字段類型註釋
user_id int 用戶ID
user_token varchar(36) 用戶token
expire_time int 過期時間（Unix時間戳）
（註：只列出了核心字段，其它的再擴展吧！！！）
服務端生成user_token 後，返回給客戶端（自己存儲），客戶端每次接口請求時，如果介面需要使用者登入才能訪問，則需要把user_id 與user_token 傳回給服務端，服務端接受到這2個參數後，需要做以下幾步：
1、檢測api_token的有效性；
2、刪除過期的user_token 表記錄；
3、根據user_id，user_token 取得表記錄，如果表記錄不存在，直接傳回錯誤，如果記錄存在，則進行下一步；
4、更新user_token 的過期時間（延期，保證其有效期內連續操作不斷線）；
#####################################介面用例如下：#########請求方式： POST###POST參數：title=我是標題&content=我是內容###回傳資料：######
{ 'code' => 1,
// 1:成功 0:失败
'msg' => '操作成功'
// 登录失败、无权访问
'data' => []
}token肯定會有洩漏的問題。例如我拿到你的手機，把你的token拷出來，在過期之前就都可以以你的身分在別的地方登入。
解決這個問題的一個簡單方法
1、在儲存的時候把token進行對稱加密存儲，用時解開。
2、將請求URL、時間戳記、token三者進行合併加鹽簽名，服務端校驗有效性。
這兩種辦法的出發點都是：竊取你儲存的資料較為容易，而反組譯你的程式hack你的加密解密和簽章演算法是比較難的。然而其實說難也不難，所以終究是防君子不防小人的做法。
相關推薦：
以上是php介面的token詳解的詳細內容。更多資訊請關注PHP中文網其他相關文章！
