本文详解如何通过 jwt（json web token）为 php 后端 api 添加身份认证与访问控制，确保仅授权的 android 原生应用可调用接口（如添加图书），同时抵御 postman 等非授权客户端请求。
本文详解如何通过 jwt（json web token）为 php 后端 api 添加身份认证与访问控制，确保仅授权的 android 原生应用可调用接口（如添加图书），同时抵御 postman 等非授权客户端请求。
在移动应用与后端 API 的通信中，“仅允许正版 Android 应用调用”是一个常见但无法 100% 绝对实现的安全目标——因为任何客户端代码（包括 APK）都可能被逆向分析。因此，真正的安全策略应聚焦于：防止未授权用户访问、阻断非法请求、最小化攻击面，而非试图“识别设备来源”。JWT 正是实现这一目标的核心机制：它将用户身份与权限以加密签名的方式封装在令牌中，服务端无需查库即可高效验证其真实性与有效性。
✅ 正确的安全实践：JWT 认证流程
- 登录鉴权（一次）：Android 应用提交用户名/密码 → PHP 后端验证凭证 → 成功后生成并返回 JWT（含 user_id、role、exp 等声明）
-
API 调用（每次）：Android 在请求头携带 Authorization: Bearer
→ PHP 解析并验证 JWT 签名与时效性 → 检查 role 是否具备操作权限（如 "admin": true）→ 通过则执行业务逻辑，否则返回 401 Unauthorized
⚠️ 注意：JWT 不用于识别“是否来自 Android”，而是识别“是否为合法授权用户”。所谓“防 Postman”本质是要求所有请求必须携带有效令牌——Postman 可模拟，但无合法登录凭据就无法获取有效 token。
? 手动实现 JWT（无第三方库）
以下为精简、可直接集成的 PHP JWT 工具函数（基于 HS256 签名算法）：
远程控制 Android 设备，支持截图、自动化操作手机 App 等功能。本应用使用 uiautomator2 作为底层框架，通过 ADB 连接设备，用户无需 Root（1）查看手机屏幕；（2）自动化操作手机 App；（3）远程安装/卸载应用……
// JWT 工具函数（建议放入 utils.php 或类中）
function base64url_encode($data) {
return rtrim(strtr(base64_encode($data), '+/', '-_'), '=');
}
function generate_jwt($payload, $secret = 'your-strong-secret-key-here') {
$header = json_encode(['alg' => 'HS256', 'typ' => 'JWT']);
$headers_encoded = base64url_encode($header);
$payload_encoded = base64url_encode(json_encode($payload));
$signature = hash_hmac('SHA256', "$headers_encoded.$payload_encoded", $secret, true);
$signature_encoded = base64url_encode($signature);
return "$headers_encoded.$payload_encoded.$signature_encoded";
}
function validate_jwt($jwt, $secret = 'your-strong-secret-key-here') {
$parts = explode('.', $jwt);
if (count($parts) !== 3) return false;
list($header_b64, $payload_b64, $signature_b64) = $parts;
// 验证签名
$expected_signature = base64url_encode(
hash_hmac('SHA256', "$header_b64.$payload_b64", $secret, true)
);
if ($expected_signature !== $signature_b64) return false;
// 解析 payload 并校验过期时间
$payload = json_decode(base64_decode($payload_b64), true);
if (!isset($payload['exp']) || $payload['exp'] <h3>?️ 改造 addNewBook.php —— 添加 JWT 验证</h3><pre class="brush:php;toolbar:false;"><?php header('Content-Type: application/json; charset=utf-8');
// 1. 数据库连接（请使用环境变量或配置文件管理敏感信息）
$connection = mysqli_connect("host", "user", "pass", "db_name");
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
// 2. 提取并验证 JWT
$auth_header = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
if (strpos($auth_header, 'Bearer ') !== 0) {
http_response_code(401);
echo json_encode(['error' => 'Missing or invalid Authorization header']);
exit;
}
$token = trim(substr($auth_header, 7));
$secret_key = 'your-strong-secret-key-here'; // 生产环境务必使用 .env 或密钥管理服务
$payload = validate_jwt($token, $secret_key);
if (!$payload) {
http_response_code(401);
echo json_encode(['error' => 'Invalid or expired token']);
exit;
}
// 3. 执行业务逻辑（此时已确认是合法管理员）
$bookName = $_POST['bookName'] ?? '';
if (empty($bookName)) {
http_response_code(400);
echo json_encode(['error' => 'Book name is required']);
exit;
}
// 使用预处理语句防止 SQL 注入（关键！）
$stmt = $connection->prepare("INSERT INTO BOOKS (NAME) VALUES (?)");
$stmt->bind_param("s", $bookName);
$stmt->execute();
echo json_encode(['success' => true, 'message' => 'Book added successfully']);
?>
? 关键注意事项与最佳实践
- 密钥安全：$secret 必须足够长（推荐 32+ 字符随机字符串）、绝不硬编码在代码中，应通过环境变量（如 .env）加载。
- HTTPS 强制：JWT 包含敏感信息，必须全程使用 HTTPS，否则令牌易被中间人窃取。
- Token 存储：Android 端应将 JWT 存于 EncryptedSharedPreferences 或 BiometricPrompt 保护的密钥库中，切勿明文存 SharedPreferences。
- 权限最小化：Payload 中只包含必要字段（如 user_id, role, exp），避免泄露敏感信息。
- 刷新机制：短期 token（如 15–60 分钟）配合 refresh token 实现无缝续期，提升安全性。
- 反向代理防护：在 Nginx/Apache 层添加 Access-Control-Allow-Origin 限制、速率限制（rate limiting）及 WAF 规则，形成纵深防御。
✅ 总结
JWT 不是“魔法开关”，而是构建可信会话的基石。它让 PHP API 能快速、无状态地验证请求合法性，将安全重心从“堵住客户端”转向“管好凭证与权限”。结合 HTTPS、预处理语句、合理密钥管理和前端安全存储，你的 addNewBook.php 就能真正抵御绝大多数未授权访问——这才是面向生产环境的务实安全方案。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
