Implémentation de la fonction de vérification de la sécurité de l'interface API

Cette fois, je vais vous présenter la mise en œuvre de la fonction de vérification de la sécurité de l'interface API. Quelles sont les précautions pour la mise en œuvre de la fonction de vérification de la sécurité de l'interface API. Ce qui suit est un cas pratique, jetons un coup d'œil.

Interface API php

Dans le travail réel, il est courant d'utiliser PHP pour écrire des interfaces API. Après avoir écrit l'interface en PHP, le. réception Vous pouvez obtenir les données fournies par l'interface via le lien, et les données renvoyées sont généralement divisées en deux situations, xml et json. Dans ce processus, le serveur ne connaît pas la source de la demande. sinon, il appelle illégalement notre interface pour obtenir des données, une vérification de sécurité doit donc être utilisée.

Principe de vérification

Diagramme schématique

Principe

On voit clairement sur l'image que si la réception veut appeler l'interface, elle doit utiliser plusieurs paramètres pour générer une signature.

Horodatage : heure actuelle

Nombre aléatoire : nombre aléatoire généré aléatoirement

Mot de passe : Lors du développement front-end et back-end, un identifiant connu des deux parties , ce qui équivaut au code secret

Règles de l'algorithme : Les règles de fonctionnement convenues, les trois paramètres ci-dessus peuvent utiliser les règles de l'algorithme pour générer une signature.

Le frontend génère une signature, et lorsque l'accès à l'interface est nécessaire, l'horodatage, le nombre aléatoire et la signature sont transmis au backend via l'URL. Après avoir obtenu l'horodatage et le nombre aléatoire en arrière-plan, il calcule la signature selon les mêmes règles d'algorithme, puis la compare avec la signature transmise. Si elle est identique, les données sont renvoyées.

Règles d'algorithme

Dans les interactions front-end et back-end, les règles d'algorithme sont très importantes à la fois en front-end et en back-end. doit calculer les signatures via des règles d'algorithme. Quant à la façon de définir les règles, cela dépend de la façon dont vous l'aimez.

Les règles de mon algorithme sont

1 L'horodatage, le nombre aléatoire et le mot de passe sont triés par ordre de casse

2 puis fusionnés en une chaîne

3 Effectuez le cryptage sha1

4 Effectuez ensuite le cryptage MD5

5 Convertissez en majuscules.

Frontend

Je n'ai pas de véritable frontend ici, j'utilise directement un fichier PHP au lieu du frontend, puis je simule un GET demande via CURL. J'utilise le framework TP et le format URL est le format pathinfo.

Code source

<?php
/**
 * Created by PhpStorm.
 * User: Administrator
 * Date: 2017/3/16 0016
 * Time: 15:56
 */
namespace Client\Controller;
use Think\Controller;
class ClientController extends Controller{
 const TOKEN = &#39;API&#39;;
 //模拟前台请求服务器api接口
 public function getDataFromServer(){
  //时间戳
  $timeStamp = time();
  //随机数
  $randomStr = $this -> createNonceStr();
  //生成签名
  $signature = $this -> arithmetic($timeStamp,$randomStr);
  //url地址
  $url = "http://www.apitest.com/Server/Server/respond/t/{$timeStamp}/r/{$randomStr}/s/{$signature}";
  $result = $this -> httpGet($url);
  dump($result);
 }
 //curl模拟get请求。
 private function httpGet($url){
  $curl = curl_init();
  //需要请求的是哪个地址
  curl_setopt($curl,CURLOPT_URL,$url);
  //表示把请求的数据已文件流的方式输出到变量中
  curl_setopt($curl,CURLOPT_RETURNTRANSFER,1);
  $result = curl_exec($curl);
  curl_close($curl);
  return $result;
 }
 //随机生成字符串
 private function createNonceStr($length = 8) {
  $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
  $str = "";
  for ($i = 0; $i < $length; $i++) {
   $str .= substr($chars, mt_rand(0, strlen($chars) - 1), 1);
  }
  return "z".$str;
 }
 /**
  * @param $timeStamp 时间戳
  * @param $randomStr 随机字符串
  * @return string 返回签名
  */
 private function arithmetic($timeStamp,$randomStr){
  $arr[&#39;timeStamp&#39;] = $timeStamp;
  $arr[&#39;randomStr&#39;] = $randomStr;
  $arr[&#39;token&#39;] = self::TOKEN;
  //按照首字母大小写顺序排序
  sort($arr,SORT_STRING);
  //拼接成字符串
  $str = implode($arr);
  //进行加密
  $signature = sha1($str);
  $signature = md5($signature);
  //转换成大写
  $signature = strtoupper($signature);
  return $signature;
 }
}

Côté serveur

Accepter les données frontales pour vérification

Code source

<?php
/**
 * Created by PhpStorm.
 * User: Administrator
 * Date: 2017/3/16 0016
 * Time: 16:01
 */
namespace Server\Controller;
use Think\Controller;
class ServerController extends Controller{
 const TOKEN = &#39;API&#39;;
 //响应前台的请求
 public function respond(){
  //验证身份
  $timeStamp = $_GET[&#39;t&#39;];
  $randomStr = $_GET[&#39;r&#39;];
  $signature = $_GET[&#39;s&#39;];
  $str = $this -> arithmetic($timeStamp,$randomStr);
  if($str != $signature){
   echo "-1";
   exit;
  }
  //模拟数据
  $arr['name'] = 'api';
  $arr['age'] = 15;
  $arr['address'] = 'zz';
  $arr['ip'] = "192.168.0.1";
  echo json_encode($arr);
 }
 /**
  * @param $timeStamp 时间戳
  * @param $randomStr 随机字符串
  * @return string 返回签名
  */
 public function arithmetic($timeStamp,$randomStr){
  $arr['timeStamp'] = $timeStamp;
  $arr['randomStr'] = $randomStr;
  $arr['token'] = self::TOKEN;
  //按照首字母大小写顺序排序
  sort($arr,SORT_STRING);
  //拼接成字符串
  $str = implode($arr);
  //进行加密
  $signature = sha1($str);
  $signature = md5($signature);
  //转换成大写
  $signature = strtoupper($signature);
  return $signature;
 }
}

Résultats

string(57) "{"name":"api","age":15,"address":"zz","ip":"192.168.0.1"}"

Résumé

Cette méthode n'est que l'une d'entre elles. En fait, il existe de nombreuses méthodes qui peuvent être utilisées pour la vérification de sécurité.

Je pense que vous maîtrisez la méthode après avoir lu le cas dans cet article. Pour des informations plus intéressantes, veuillez prêter attention aux autres articles connexes sur le site Web chinois de php !

Lecture recommandée :

Explication détaillée de l'utilisation des fonctions de rappel PHP et des fonctions anonymes

Accès aux autorisations du service d'annuaire de phpstudy2018

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!