php介面的token詳解

本文主要和大家分享php介面的token詳解，希望能幫助大家。我們先來了解介面特性彙總：

介面特性彙總：

1、因為是非開放性的，所以所有的介面都是封閉的，只對公司內部的產品有效；

2、因為是非開放性的，所以OAuth那套協定是行不通的，因為沒有中間使用者的授權過程；

3、有點介面需要使用者登入才能訪問;

4、有點介面不需要使用者登入就可存取；

PHP Token(令牌)

針對以上特點，行動端與服務端的通訊就需要2把鑰匙，也就是2個token。

第一個token是針對介面的（api_token）；
第二個token是針對使用者的（user_token）；

先說第一個token（api_token）

它的職責是保持介面存取的隱藏性和有效性，保證介面只能給自家人用，怎麼做？參考想法如下：
依照伺服器端和客戶端都擁有的共同屬性產生一個隨機字串，客戶端產生這個字串，伺服器也按同樣演算法產生一個字串，用來校驗客戶端的字串。

現在的介面基本上是mvc模式，URL基本上是restful風格，URL大致格式如下：
http://blog.snsgou.com/模組名稱/控制器名稱/方法名稱?參數名1=參數值1&參數名稱2=參數值2&參數名稱3=參數值3
介面token產生規則參考如下：
api_token = md5 ('模組名稱' + '控制器名稱' + '方法名' + '2013-12-18' + '加密金鑰') = 770fed4ca2aabd20ae9a5dd774711de2
其中的 
1、 '2013-12-18' 為當天時間，
2、'##1、 '2013-12-18' 為當天時間，
2、'加密密鑰' 為私有的加密金鑰，手機端需要在服務端註冊一個「介面使用者」帳號後，系統會分配一個帳號及密碼，資料表設計參考如下：
欄位名字段類型註解 
client_id varchar( 20) 用戶端ID 
client_secret varchar(20) 用戶端(加密)金鑰 

服務端介面校驗，PHP實作流程如下：

<?php   
// 1、获取 GET参数 值   
$module = $_GET[&#39;mod&#39;]; $controller = $_GET[&#39;ctl&#39;]   
$action = $_GET[&#39;act&#39;]; $client_id = $_GET[&#39;client_id&#39;];   
$api_token = $_GET[&#39;api_token‘];   
// 2、根据客户端传过来的 client_id ，查询数据库，获取对应的 client_secret   
$client_secret = getClientSecretById($client_id);   
// 3、服务端重新生成一份 api_token   
$api_token_server = md5($module . $controller . $action .  date(&#39;Y-m-d&#39;, time()) .  $client_secret);   
// 4、客户端传过来的 api_token 与服务端生成的 api_token 进行校对，如果不相等，则表示验证失败   
if ($api_token != $api_token_server) {   
    exit(&#39;access deny&#39;);  // 拒绝访问 } // 5、验证通过，返回数据给客户端    
?>

再說第二個token（user_token）

它的職責是保護使用者的使用者名稱及密碼多次提交，以防密碼外洩。

如果介面需要使用者登錄，其存取流程如下：
1、使用者提交“使用者名稱”和“密碼”，實現登入（條件允許，這一步最好走https）；
2.登入成功後，服務端回傳一個user_token，生成規則參考如下：
user_token = md5('用戶的uid' + 'Unix時間戳記') = etye0fgkgk4ca2aabd20ae9a5dd77471fgf
服務端以資料表維護2aabd20ae9a5dd77471fgf
服務端以資料表維護，表設計如下：
字段名字段類型註釋 
user_id int 用戶ID 
user_token varchar(36) 用戶token 
expire_time int 過期時間（Unix時間戳） 
（註：只列出了核心字段，其它的再擴展吧！！！）


服務端生成user_token 後，返回給客戶端（自己存儲），客戶端每次接口請求時，如果介面需要使用者登入才能訪問，則需要把user_id 與user_token 傳回給服務端，服務端接受到這2個參數後，需要做以下幾步：

1、檢測api_token的有效性；

2、刪除過期的user_token 表記錄；

3、根據user_id，user_token 取得表記錄，如果表記錄不存在，直接傳回錯誤，如果記錄存在，則進行下一步；

4、更新user_token 的過期時間（延期，保證其有效期內連續操作不斷線）；

5、返回介面資料；

#####################################介面用例如下：#########請求方式：  POST###POST參數：title=我是標題&content=我是內容###回傳資料：######

{       'code' => 1, 
// 1:成功 0:失败      
'msg' => '操作成功' 
// 登录失败、无权访问     
 'data' => []
 }

#### ##如何防止token劫持？ ######

token肯定會有洩漏的問題。例如我拿到你的手機，把你的token拷出來，在過期之前就都可以以你的身分在別的地方登入。
解決這個問題的一個簡單方法
1、在儲存的時候把token進行對稱加密存儲，用時解開。
2、將請求URL、時間戳記、token三者進行合併加鹽簽名，服務端校驗有效性。
這兩種辦法的出發點都是：竊取你儲存的資料較為容易，而反組譯你的程式hack你的加密解密和簽章演算法是比較難的。然而其實說難也不難，所以終究是防君子不防小人的做法。

相關推薦：

PHP實作Token的實例方法

詳解app介面之token

微信小程式url與token如何設定

以上是php介面的token詳解的詳細內容。更多資訊請關注PHP中文網其他相關文章！