一. url請求的參數包括:timestamp,token, username,sign
1. timestamp:
時間戮
2. token:
登陸驗證時,驗證成功後,生成唯一的token(可以為uuid),并把token儲存到緩存(redis)裡 ,鍵為username,值為token
3. username:
使用者名,保證唯一
4. sign:
規則:參數timestamp,token,username按字典排序,md5加密碼(加點鹽),後大寫
使用者登陸,驗證成功後,生成sign
二. url 攔截規則,驗證
1. 使用者登陸,驗證成功後,生成token,緩存(username->token)并傳回給用戶端
2. 用戶端每個接口請求(除登陸接口)時,傳必要的參數timestamp,token,username, sign,沒傳直接傳回報錯
3. timestamp作用:是否在有效期内,有效期可以設定10,20分鐘,根據需求設定
比如說 過期時間設定為10分中
服務接受到請求的目前時間戳是30,傳過來的timestamp時間戳是10,30-10>10, 說明這個請求過期
4. token作用:直接與redis中的username鍵值 對比,如果不相等,則過期,或如果redis緩存時間過期了,也過期
5. sign作用:根據規則傳過來的參數,生成sign,與傳過來的sign對比。如果不相等,報錯
---------------------
作者:蒙--
來源:CSDN
原文:https://blog.csdn.net/mengzuchao/article/details/78046697
版權聲明:本文為部落客原創文章,轉載請附上博文連結!
token生成:
1、因為是非開放性的,是以所有的接口都是封閉的,隻對公司内部的産品有效;
2、因為是非開放性的,是以OAuth那套協定是行不通的,因為沒有中間使用者的授權過程;
3、有點接口需要使用者登入才能通路;
4、有點接口不需要使用者登入就可通路;
針對以上特點,移動端與服務端的通信就需要2把鑰匙,即2個token。
第一個token是針對接口的(api_token);
第二個token是針對使用者的(user_token);
先說第一個token(api_token)
它的職責是保持接口通路的隐蔽性和有效性,保證接口隻能給自家人用,怎麼做到?參考思路如下:
現在的接口基本是mvc模式,URL基本是restful風格,URL大體格式如下:
http://blog.snsgou.com/子產品名/控制器名/方法名?參數名1=參數值1&參數名2=參數值2&參數名3=參數值3
接口token生成規則參考如下:
api_token = md5 ('子產品名' + '控制器名' + '方法名' + '2013-12-18' + '加密密鑰') = 770fed4ca2aabd20ae9a5dd774711de2
其中的
1、 '2013-12-18' 為當天時間,
2、'加密密鑰' 為私有的加密密鑰,手機端需要在服務端注冊一個“接口使用者”賬号後,系統會配置設定一個賬号及密碼,資料表設計參考如下:
字段名 | 字段類型 | 注釋 |
client_id | varchar(20) | 用戶端ID |
client_secret | 用戶端(加密)密鑰 |
(注:隻列出了核心字段,其它的再擴充吧!!!)
服務端接口校驗,PHP實作流程如下:
<?php
// 1、擷取 GET參數 值
$module = $_GET['mod']; $controller = $_GET['ctl']
$action = $_GET['act']; $client_id = $_GET['client_id'];
$api_token = $_GET['api_token‘];
// 2、根據用戶端傳過來的 client_id ,查詢資料庫,擷取對應的 client_secret
$client_secret = getClientSecretById($client_id);
// 3、服務端重新生成一份 api_token
$api_token_server = md5($module . $controller . $action . date('Y-m-d', time()) . $client_secret);
// 4、用戶端傳過來的 api_token 與服務端生成的 api_token 進行校對,如果不相等,則表示驗證失敗
if ($api_token != $api_token_server) {
exit('access deny'); // 拒絕通路 } // 5、驗證通過,傳回資料給用戶端
?>
再說第二個token(user_token)
它的職責是保護使用者的使用者名及密碼多次送出,以防密碼洩露。
如果接口需要使用者登入,其通路流程如下:
1、使用者送出“使用者名”和“密碼”,實作登入(條件允許,這一步最好走https);(使用者名+密碼+随機字元串+時間戳)token保證唯一就行
2、登入成功後,服務端傳回一個 user_token,生成規則參考如下:
服務端用資料表維護user_token的狀态,表設計如下:
user_id | int | 使用者ID |
user_token | varchar(36) | 使用者token |
expire_time | 過期時間(Unix時間戳) |
服務端生成 user_token 後,傳回給用戶端(自己存儲),用戶端每次接口請求時,如果接口需要使用者登入才能通路,則需要把 user_id 與 user_token 傳回給服務端,服務端接受到這2個參數後,需要做以下幾步:
1、檢測 api_token的有效性;
2、删除過期的 user_token 表記錄;
3、根據 user_id,user_token 擷取表記錄,如果表記錄不存在,直接傳回錯誤,如果記錄存在,則進行下一步;
4、更新 user_token 的過期時間(延期,保證其有效期内連續操作不掉線);
5、傳回接口資料;
接口用例如下:
1、釋出日志
URL: http://blog.snsgou.com/blog/Index/addBlog?client_id=wt3734wy636dhd3636sr5858t6&api_token=880fed4ca2aabd20ae9a5dd774711de2&user_token=etye0fgkgk4ca2aabd20ae9a5dd77471fgf&user_id=12
請求方式: POST
POST參數:title=我是标題&content=我是内容