如何在PHP中整合OAuth 2.0以保護API

在目前的行動和web應用程式中，API是必不可少的一部分，它們為使用者和應用程式提供了互動的介面。但是，這些API也對惡意用戶和駭客造成了風險，並可能導致敏感資料外洩。因此，必須保護API，以防止未經授權的存取。 OAuth 2.0是一種行之有效的方式，透過令牌，它允許你存取API，同時確保你是有權存取的。

在這篇文章中，我們將探索如何在PHP中整合OAuth 2.0來保護API。

什麼是OAuth 2.0？

OAuth 2.0是一個開放標準，它允許使用者授權第三方存取他們的資源（例如，photos，documents，contacts等）。更具體地說，OAuth 2.0使用授權令牌來代表使用者存取他們的資源。存取令牌是在存取資源時由授權伺服器簽發並提供給呼叫方的一個憑證。呼叫方可以將此令牌與每個請求一起使用，以表示它們被授權存取該資源。

在PHP中整合OAuth 2.0

在PHP中，有許多OAuth 2.0函式庫可供選擇。在本文中，我們將介紹使用thephpleague/oauth2-client套件實作OAuth 2.0的流程。

步驟1：安裝thephpleague/oauth2-client套件

我們首先需要安裝thephpleague/oauth2-client套件。可以使用Composer套件管理器來安裝它。在終端機或命令列介面中導航到你的專案目錄，然後在那裡執行以下命令：

composer require league/oauth2-client

步驟2：設定提供者客戶端

現在，我們需要定義提供者客戶端。在這裡，我們使用GitHub OAuth提供者作為範例。首先，用你的實際應用程式憑證更改CLIENT_ID和CLIENT_SECRET常數的值。

<?php

require 'vendor/autoload.php';

use LeagueOAuth2ClientProviderGithub;

const CLIENT_ID = 'your_client_id';
const CLIENT_SECRET = 'your_client_secret';
const REDIRECT_URI = 'http://localhost/oauth2/callback.php';

$provider = new Github([
    'clientId'        => CLIENT_ID,
    'clientSecret'    => CLIENT_SECRET,
    'redirectUri'     => REDIRECT_URI,
]);

步驟3：取得授權碼

接下來，我們需要取得授權碼。授權碼是用於在進一步取得存取權杖時驗證身分的臨時令牌。

<?php

$authorizationUrl = $provider->getAuthorizationUrl([
    'scope' => ['user', 'repo', 'notifications']
]);

$_SESSION['oauth2state'] = $provider->getState();

header('Location: ' . $authorizationUrl);

在上面的程式碼中，getAuthorizationUrl()方法傳回一個授權URL，跳到該URL將引導使用者到GitHub，要求他們提供存取權杖。當GitHub授權後，它會將使用者重新路由到一個重定向URI，其中包含授權碼。

步驟4：取得存取權杖

現在，我們需要使用我們在上一個步驟中獲得的授權碼來取得存取權杖。

<?php

if (isset($_GET['code']) && isset($_GET['state']) && isset($_SESSION['oauth2state'])) {
    if ($_GET['state'] === $_SESSION['oauth2state']) {

        try {
            $token = $provider->getAccessToken('authorization_code', [
                'code' => $_GET['code']
            ]);

            $accessToken = $token->getToken();
            $refreshToken = $token->getRefreshToken();
            $expires = $token->getExpires();
        } catch (Exception $e) {
            exit('Failed to get access token: ' . $e->getMessage());
        }

        // Get the user object.
        try {
            $user = $provider->getResourceOwner($token);
            $name = $user->getName();
            $email = $user->getEmail();
            $imageUrl = $user->getAvatarUrl();
            $profileUrl = $user->getHtmlUrl();
        } catch (Exception $e) {
            exit('Failed to get user: ' . $e->getMessage());
        }

        // Store the access token and user data somewhere
        // for use in your application.
        $_SESSION['github_access_token'] = $accessToken;
        $_SESSION['github_refresh_token'] = $refreshToken;
        $_SESSION['github_expires'] = $expires;
        $_SESSION['github_user_name'] = $name;
        $_SESSION['github_user_email'] = $email;
        $_SESSION['github_user_image'] = $imageUrl;
        $_SESSION['github_user_profile_url'] = $profileUrl;

        // Redirect the user to the original page
        // or some other authorized page in your application.
        header('Location: /');
        exit();
    } else {
        exit('Invalid state');
    }
}

在上面的程式碼中，我們首先使用getAccessToken()方法來取得存取權杖。然後，我們使用getResourceOwner()方法來取得使用者物件。最後，我們將使用者資料和存取權令牌儲存在會話中。

步驟5：使用存取令牌呼叫API

最後，我們可以使用存取令牌呼叫保護的API。在本例中，我們將使用GitHub API，該API要求我們使用存取權杖進行身份驗證。

<?php

$client = new GuzzleHttpClient();

$response = $client->request('GET', 'https://api.github.com/user', [
    'headers' => [
        'Authorization' => 'Bearer ' . $_SESSION['github_access_token'],
        'User-Agent' => 'OAuth2 Client'
    ]
]);

$body = $response->getBody();
$userData = json_decode($body, true);

在上面的程式碼中，我們使用Guzzle HTTP客戶端呼叫了GitHub API。我們使用存取令牌設定Authorization標頭來表示我們有權存取此API。

結論

在PHP中整合OAuth 2.0是保護你的API的好方法。使用thephpleague/oauth2-client套件，我們可以從提供者取得存取令牌，並使用該令牌呼叫受保護的API。此外，我們還可以儲存使用者資料和令牌以備將來使用。

現在，你可以開始整合OAuth 2.0以保護你的API並保護使用者資料。

以上是如何在PHP中整合OAuth 2.0以保護API的詳細內容。更多資訊請關注PHP中文網其他相關文章！