1、因為是非開放性的,所以所有的介面都是封閉的,只對公司內部的產品有效;
2、因為是非開放性的,所以OAuth那套協定是行不通的,因為沒有中間使用者的授權過程;
3、有點介面需要使用者登入才能訪問;
4、有點介面不需要使用者登入就可存取;
針對以上特點,行動端與服務端的通訊就需要2把鑰匙,也就是2個token。
第一個token是針對介面的(api_token);
第二個token是針對使用者的(user_token);
它的職責是保持介面存取的隱藏性和有效性,保證介面只能給自家人用,怎麼做?參考想法如下:
依照伺服器端和客戶端都擁有的共同屬性產生一個隨機字串,客戶端產生這個字串,伺服器也按同樣演算法產生一個字串,用來校驗客戶端的字串。
現在的介面基本上是mvc模式,URL基本上是restful風格,URL大致格式如下:
http://blog.snsgou.com/模組名稱/控制器名稱/方法名稱?參數名1=參數值1&參數名稱2=參數值2&參數名稱3=參數值3
介面token產生規則參考如下:
api_token = md5 ('模組名稱' + '控制器名稱' + '方法名' + '2013-12-18' + '加密金鑰') = 770fed4ca2aabd20ae9a5dd774711de2
其中的
1、 '2013-12-18' 為當天時間,
2、'##1、 '2013-12-18' 為當天時間,
2、'加密密鑰' 為私有的加密金鑰,手機端需要在服務端註冊一個「介面使用者」帳號後,系統會分配一個帳號及密碼,資料表設計參考如下:
欄位名字段類型註解
client_id varchar( 20) 用戶端ID
client_secret varchar(20) 用戶端(加密)金鑰
<?php // 1、获取 GET参数 值 $module = $_GET['mod']; $controller = $_GET['ctl'] $action = $_GET['act']; $client_id = $_GET['client_id']; $api_token = $_GET['api_token‘]; // 2、根据客户端传过来的 client_id ,查询数据库,获取对应的 client_secret $client_secret = getClientSecretById($client_id); // 3、服务端重新生成一份 api_token $api_token_server = md5($module . $controller . $action . date('Y-m-d', time()) . $client_secret); // 4、客户端传过来的 api_token 与服务端生成的 api_token 进行校对,如果不相等,则表示验证失败 if ($api_token != $api_token_server) { exit('access deny'); // 拒绝访问 } // 5、验证通过,返回数据给客户端 ?>
它的職責是保護使用者的使用者名稱及密碼多次提交,以防密碼外洩。
如果介面需要使用者登錄,其存取流程如下:
1、使用者提交“使用者名稱”和“密碼”,實現登入(條件允許,這一步最好走https);
2.登入成功後,服務端回傳一個user_token,生成規則參考如下:
user_token = md5('用戶的uid' + 'Unix時間戳記') = etye0fgkgk4ca2aabd20ae9a5dd77471fgf
服務端以資料表維護2aabd20ae9a5dd77471fgf
服務端以資料表維護,表設計如下:
字段名字段類型註釋
user_id int 用戶ID
user_token varchar(36) 用戶token
expire_time int 過期時間(Unix時間戳)
(註:只列出了核心字段,其它的再擴展吧!!!)
服務端生成user_token 後,返回給客戶端(自己存儲),客戶端每次接口請求時,如果介面需要使用者登入才能訪問,則需要把user_id 與user_token 傳回給服務端,服務端接受到這2個參數後,需要做以下幾步:
1、檢測api_token的有效性;
2、刪除過期的user_token 表記錄;
3、根據user_id,user_token 取得表記錄,如果表記錄不存在,直接傳回錯誤,如果記錄存在,則進行下一步;
4、更新user_token 的過期時間(延期,保證其有效期內連續操作不斷線);
#####################################介面用例如下:#########請求方式: POST###POST參數:title=我是標題&content=我是內容###回傳資料:######
{ 'code' => 1, // 1:成功 0:失败 'msg' => '操作成功' // 登录失败、无权访问 'data' => [] }
token肯定會有洩漏的問題。例如我拿到你的手機,把你的token拷出來,在過期之前就都可以以你的身分在別的地方登入。
解決這個問題的一個簡單方法
1、在儲存的時候把token進行對稱加密存儲,用時解開。
2、將請求URL、時間戳記、token三者進行合併加鹽簽名,服務端校驗有效性。
這兩種辦法的出發點都是:竊取你儲存的資料較為容易,而反組譯你的程式hack你的加密解密和簽章演算法是比較難的。然而其實說難也不難,所以終究是防君子不防小人的做法。
相關推薦:
以上是php介面的token詳解的詳細內容。更多資訊請關注PHP中文網其他相關文章!