當前位置：首頁 > 编程语言 > php >内容正文

php

php接口开发安全_PHP开发api接口安全验证的实例讲解

發布時間：2023/12/1 php 160 豆豆

生活随笔收集整理的這篇文章主要介紹了 php接口开发安全_PHP开发api接口安全验证的实例讲解小編覺得挺不錯的,現在分享給大家,幫大家做個參考.

php的api接口

在實際工作中，使用PHP寫api接口是經常做的，PHP寫好接口后，前臺就可以通過鏈接獲取接口提供的數據，而返回的數據一般分為兩種情況，xml和json,在這個過程中，服務器并不知道，請求的來源是什么，有可能是別人非法調用我們的接口，獲取數據，因此就要使用安全驗證。

驗證原理

示意圖

原理

從圖中可以看得很清楚，前臺想要調用接口，需要使用幾個參數生成簽名。

時間戳：當前時間

隨機數：隨機生成的隨機數

口令：前后臺開發時，一個雙方都知道的標識，相當于暗號

算法規則：商定好的運算規則，上面三個參數可以利用算法規則生成一個簽名。

前臺生成一個簽名，當需要訪問接口的時候，把時間戳，隨機數，簽名通過URL傳遞到后臺。后臺拿到時間戳，隨機數后，通過一樣的算法規則計算出簽名，然后和傳遞過來的簽名進行對比，一樣的話，返回數據。

算法規則

在前后臺交互中，算法規則是非常重要的，前后臺都要通過算法規則計算出簽名，至于規則怎么制定，看你怎么高興怎么來。

我這個算法規則是

1 時間戳，隨機數，口令按照首字母大小寫順序排序

2 然后拼接成字符串

3 進行sha1加密

4 再進行MD5加密

5 轉換成大寫。

前臺

這里我并沒有實際的前臺，直接使用一個PHP文件代替前臺，然后通過CURL模擬GET請求。我使用的是TP框架，URL格式是pathinfo格式。

源代碼

/**

* Created by PhpStorm.

* User: Administrator

* Date: 2017/3/16 0016

* Time: 15:56

namespace Client\Controller;

use Think\Controller;

class ClientController extends Controller{

const TOKEN = 'API';

//模擬前臺請求服務器api接口

public function getDataFromServer(){

//時間戳

$timeStamp = time();

//隨機數

$randomStr = $this -> createNonceStr();

//生成簽名

$signature = $this -> arithmetic($timeStamp,$randomStr);

//url地址

$url = "http://www.apitest.com/Server/Server/respond/t/{$timeStamp}/r/{$randomStr}/s/{$signature}";

$result = $this -> httpGet($url);

dump($result);

}

//curl模擬get請求。

private function httpGet($url){

$curl = curl_init();

//需要請求的是哪個地址

curl_setopt($curl,CURLOPT_URL,$url);

//表示把請求的數據已文件流的方式輸出到變量中

curl_setopt($curl,CURLOPT_RETURNTRANSFER,1);

$result = curl_exec($curl);

curl_close($curl);

return $result;

}

//隨機生成字符串

private function createNonceStr($length = 8) {

$chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";

$str = "";

for ($i = 0; $i < $length; $i++) {

$str .= substr($chars, mt_rand(0, strlen($chars) - 1), 1);

}

return "z".$str;

}

/**

* @param $timeStamp 時間戳

* @param $randomStr 隨機字符串

* @return string 返回簽名

private function arithmetic($timeStamp,$randomStr){

$arr['timeStamp'] = $timeStamp;

$arr['randomStr'] = $randomStr;

$arr['token'] = self::TOKEN;

//按照首字母大小寫順序排序

sort($arr,SORT_STRING);

//拼接成字符串

$str = implode($arr);

//進行加密

$signature = sha1($str);

$signature = md5($signature);

//轉換成大寫

$signature = strtoupper($signature);

return $signature;

}

服務器端

接受前臺數據進行驗證

源代碼

/**

* Created by PhpStorm.

* User: Administrator

* Date: 2017/3/16 0016

* Time: 16:01

namespace Server\Controller;

use Think\Controller;

class ServerController extends Controller{

const TOKEN = 'API';

//響應前臺的請求

public function respond(){

//驗證身份

$timeStamp = $_GET['t'];

$randomStr = $_GET['r'];

$signature = $_GET['s'];

$str = $this -> arithmetic($timeStamp,$randomStr);

if($str != $signature){

echo "-1";

exit;

}

//模擬數據

$arr['name'] = 'api';

$arr['age'] = 15;

$arr['address'] = 'zz';

$arr['ip'] = "192.168.0.1";

echo json_encode($arr);

}

/**