《PHP應(yīng)用：yii2項目實戰(zhàn)之restful api授權(quán)驗證詳解》要點：
本文介紹了PHP應(yīng)用：yii2項目實戰(zhàn)之restful api授權(quán)驗證詳解，希望對您有用。如果有疑問，可以聯(lián)系我們。

相關(guān)主題：YII框架

前言PHP應(yīng)用

什么是restful風(fēng)格的api呢?我們之前有寫過大篇的文章來介紹其概念以及基本操作.PHP應(yīng)用

既然寫過了,那今天是要說點什么嗎?PHP應(yīng)用

這篇文章主要針對實際場景中api的部署來寫.PHP應(yīng)用

我們今天就來大大的侃侃那些年api遇到的授權(quán)驗證問題!獨家干活,如果看完有所受益,記得不要忘記給我點贊哦.PHP應(yīng)用

業(yè)務(wù)分析PHP應(yīng)用

我們先來了解一下整個邏輯PHP應(yīng)用

• 用戶在客戶端填寫登錄表單
• 用戶提交表單,客戶端請求登錄接口login
• 服務(wù)端校驗用戶的帳號密碼,并返回一個有效的token給客戶端
• 客戶端拿到用戶的token,將之存儲在客戶端比如cookie中
• 客戶端攜帶token訪問需要校驗的接口比如獲取用戶個人信息接口
• 服務(wù)端校驗token的有效性,校驗通過,反正返回客戶端需要的信息,校驗失敗,需要用戶重新登錄
  

本文我們以用戶登錄,獲取用戶的個人信息為例進行詳細的完整版說明.
以上,便是我們本篇文章要實現(xiàn)的重點.先別激動,也別緊張,分析好了之后,細節(jié)部分我們再一步一個腳印走下去.
PHP應(yīng)用

準(zhǔn)備工作PHP應(yīng)用

• 你應(yīng)該有一個api應(yīng)用,如果你還沒有,請先移步這里→_→Restful api基礎(chǔ)
• 對于客戶端,我們準(zhǔn)備采用postman進行模擬,如果你的google瀏覽器還沒有安裝postman,請先自行下載
• 要測試的用戶表需要有一個api_token的字段,沒有的請先自行添加,并保證該字段足夠長度
• api應(yīng)用開啟了路由美化,并先配置post類型的login操作和get類型的signup-test操作
• 關(guān)閉了user組件的session會話
  

關(guān)于上面準(zhǔn)備工作的第4點和第5點,我們貼一下代碼方便理解PHP應(yīng)用

'components' => [
 'user' => [ 
 'identityClass' => 'common\models\User',
 'enableAutoLogin' => true,
 'enableSession' => false,
 ],
 'urlManager' => [
 'enablePrettyUrl' => true,
 'showScriptName' => false,
 'enableStrictParsing' => true,
 'rules' => [
  [
  'class' => 'yii\rest\UrlRule',
  'controller' => ['v1/user'],
  'extraPatterns' => [
   'POST login' => 'login',
   'GET signup-test' => 'signup-test',
  ]
  ],
 ]
 ],
 // ......
],

signup-test操作我們后面添加測試用戶,為登錄操作提供便利.其他類型的操作后面看需要再做添加.PHP應(yīng)用

認(rèn)證類的選擇PHP應(yīng)用

我們在api\modules\v1\controllers\UserController中設(shè)定的model類指向 common\models\User類,為了說明重點這里我們就不單獨拿出來重寫了,看各位需要,有必要的話再單獨copy一個User類到api\models下.
PHP應(yīng)用

校驗用戶權(quán)限我們以 yii\filters\auth\QueryParamAuth 為例PHP應(yīng)用

use yii\filters\auth\QueryParamAuth;
public function behaviors() 
{
 return ArrayHelper::merge (parent::behaviors(), [ 
  'authenticator' => [ 
  'class' => QueryParamAuth::className() 
  ] 
 ] );
}

如此一來,那豈不是所有訪問user的操作都需要認(rèn)證了?那不行,客戶端第一個訪問login操作的時候哪來的token,yii\filters\auth\QueryParamAuth對外提供一個屬性,用于過濾不需要驗證的action.我們將UserController的behaviors方法稍作修改PHP應(yīng)用

public function behaviors() 
{
 return ArrayHelper::merge (parent::behaviors(), [ 
  'authenticator' => [ 
  'class' => QueryParamAuth::className(),
  'optional' => [
   'login',
   'signup-test'
  ],
  ] 
 ] );
}

這樣login操作就無需權(quán)限驗證即可訪問了.PHP應(yīng)用

添加測試用戶PHP應(yīng)用

為了避免讓客戶端登錄失敗,我們先寫一個簡單的方法,往user表里面插入兩條數(shù)據(jù),便于接下來的校驗.PHP應(yīng)用

UserController增加signupTest操作,注意此方法不屬于講解范圍之內(nèi),我們僅用于方便測試.PHP應(yīng)用

use common\models\User;
/**
 * 添加測試用戶
 */
public function actionSignupTest ()
{
 $user = new User();
 $user->generateAuthKey();
 $user->setPassword('123456');
 $user->username = '111';
 $user->email = '111@111.com';
 $user->save(false);
 return [
 'code' => 0
 ];
}

如上,我們添加了一個username是111,密碼是123456的用戶PHP應(yīng)用

登錄操作PHP應(yīng)用

假設(shè)用戶在客戶端輸入用戶名和密碼進行登錄,服務(wù)端login操作其實很簡單,大部分的業(yè)務(wù)邏輯處理都在api\models\loginForm上,來先看看login的實現(xiàn)PHP應(yīng)用

use api\models\LoginForm;PHP應(yīng)用

/**
 * 登錄
 */
public function actionLogin ()
{
 $model = new LoginForm;
 $model->setAttributes(Yii::$app->request->post());
 if ($user = $model->login()) {
 if ($user instanceof IdentityInterface) {
  return $user->api_token;
 } else {
  return $user->errors;
 }
 } else {
 return $model->errors;
 }
}

登錄成功后這里給客戶端返回了用戶的token,再來看看登錄的具體邏輯的實現(xiàn)PHP應(yīng)用

新建api\models\LoginForm.PHPPHP應(yīng)用

<?php
namespace api\models;
use Yii;
use yii\base\Model;
use common\models\User;
/**
 * Login form
 */
class LoginForm extends Model
{
 public $username;
 public $password;
 private $_user;
 const GET_API_TOKEN = 'generate_api_token';
 public function init ()
 {
 parent::init();
 $this->on(self::GET_API_TOKEN, [$this, 'onGenerateApiToken']);
 }
 /**
 * @inheritdoc
 * 對客戶端表單數(shù)據(jù)進行驗證的rule
 */
 public function rules()
 {
 return [
  [['username', 'password'], 'required'],
  ['password', 'validatePassword'],
 ];
 }
 /**
 * 自定義的密碼認(rèn)證方法
 */
 public function validatePassword($attribute, $params)
 {
 if (!$this->hasErrors()) {
  $this->_user = $this->getUser();
  if (!$this->_user || !$this->_user->validatePassword($this->password)) {
  $this->addError($attribute, '用戶名或密碼錯誤.');
  }
 }
 }
 /**
 * @inheritdoc
 */
 public function attributeLabels()
 {
 return [
  'username' => '用戶名',
  'password' => '密碼',
 ];
 }
 /**
 * Logs in a user using the provided username and password.
 *
 * @return boolean whether the user is logged in successfully
 */
 public function login()
 {
 if ($this->validate()) {
  $this->trigger(self::GET_API_TOKEN);
  return $this->_user;
 } else {
  return null;
 }
 }
 /**
 * 根據(jù)用戶名獲取用戶的認(rèn)證信息
 *
 * @return User|null
 */
 protected function getUser()
 {
 if ($this->_user === null) {
  $this->_user = User::findByUsername($this->username);
 }
 return $this->_user;
 }
 /**
 * 登錄校驗成功后,為用戶生成新的token
 * 如果token失效,則重新生成token
 */
 public function onGenerateApiToken ()
 {
 if (!User::apiTokenIsValid($this->_user->api_token)) {
  $this->_user->generateApiToken();
  $this->_user->save(false);
 }
 }
}

我們回過頭來看一下,當(dāng)我們在UserController的login操作中調(diào)用LoginForm的login操作后都發(fā)生了什么PHP應(yīng)用

????? 1、調(diào)用LoginForm的login方法PHP應(yīng)用

????? 2、調(diào)用validate方法,隨后對rules進行校驗PHP應(yīng)用

????? 3、rules校驗中調(diào)用validatePassword方法,對用戶名和密碼進行校驗PHP應(yīng)用

????? 4、validatePassword方法校驗的過程中調(diào)用LoginForm的getUser方法,通過common\models\User類的findByUsername獲取用戶,找不到或者common\models\User的validatePassword對密碼校驗失敗則返回errorPHP應(yīng)用

????? 5、觸發(fā)LoginForm::GENERATE_API_TOKEN事件,調(diào)用LoginForm的onGenerateApiToken方法,通過common\models\User的apiTokenIsValid校驗token的有效性,如果無效,則調(diào)用User的generateApiToken方法重新生成PHP應(yīng)用

注意：common\models\User類必須是用戶的認(rèn)證類,如果不知道如何創(chuàng)建完善該類,請圍觀這里 用戶管理之user組件的配置PHP應(yīng)用

下面補充本節(jié)增加的common\models\User的相關(guān)方法PHP應(yīng)用

/**
 * 生成 api_token
 */
public function generateApiToken()
{
 $this->api_token = Yii::$app->security->generateRandomString() . '_' . time();
}
/**
 * 校驗api_token是否有效
 */
public static function apiTokenIsValid($token)
{
 if (empty($token)) {
 return false;
 }
 $timestamp = (int) substr($token, strrpos($token, '_') + 1);
 $expire = Yii::$app->params['user.apiTokenExpire'];
 return $timestamp + $expire >= time();
}

繼續(xù)補充apiTokenIsValid方法中涉及到的token有效期,在api\config\params.php文件內(nèi)增加即可PHP應(yīng)用

<?php
return [
 // ...
 // token 有效期默認(rèn)1天
 'user.apiTokenExpire' => 1*24*3600,
];

到這里呢,客戶端登錄 服務(wù)端返回token給客戶端就完成了.PHP應(yīng)用

按照文中一開始的分析,客戶端應(yīng)該把獲取到的token存到本地,比如cookie中.以后再需要token校驗的接口訪問中,從本地讀取比如從cookie中讀取并訪問接口即可.PHP應(yīng)用

根據(jù)token請求用戶的認(rèn)證操作PHP應(yīng)用

假設(shè)我們已經(jīng)把獲取到的token保存起來了,我們再以訪問用戶信息的接口為例.PHP應(yīng)用

yii\filters\auth\QueryParamAuth類認(rèn)定的token參數(shù)是 access-token,我們可以在行為中修改下PHP應(yīng)用

public function behaviors() 
{
 return ArrayHelper::merge (parent::behaviors(), [ 
   'authenticator' => [ 
    'class' => QueryParamAuth::className(),
    'tokenParam' => 'token',
    'optional' => [
     'login',
     'signup-test'
    ],
   ] 
 ] );
}

這里將默認(rèn)的access-token修改為token.PHP應(yīng)用

我們在配置文件的urlManager組件中增加對userProfile操作PHP應(yīng)用

'extraPatterns' => [
 'POST login' => 'login',
 'GET signup-test' => 'signup-test',
 'GET user-profile' => 'user-profile',
]

我們用postman模擬請求訪問下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145發(fā)現(xiàn),拋出了一個異常PHP應(yīng)用

\"findIdentityByAccessToken\" is not implemented.
PHP應(yīng)用

這是怎么回事呢?PHP應(yīng)用

我們找到 yii\filters\auth\QueryParamAuth 的authenticate方法,發(fā)現(xiàn)這里調(diào)用了 common\models\User類的loginByAccessToken方法,有同學(xué)疑惑了,common\models\User類沒實現(xiàn)loginByAccessToken方法為啥說findIdentityByAccessToken方法沒實現(xiàn)?如果你還記得common\models\User類實現(xiàn)了yii\web\user類的接口的話,你應(yīng)該會打開yii\web\User類找答案.沒錯,loginByAccessToken方法在yii\web\User中實現(xiàn)了,該類中調(diào)用了common\models\User的findIdentityByAccessToken,但是我們看到,該方法中通過throw拋出了異常,也就是說這個方法要我們自己手動實現(xiàn)!PHP應(yīng)用

這好辦了,我們就來實現(xiàn)下common\models\User類的findIdentityByAccessToken方法吧PHP應(yīng)用

public static function findIdentityByAccessToken($token, $type = null)
{
 // 如果token無效的話,
 if(!static::apiTokenIsValid($token)) {
  throw new \yii\web\UnauthorizedHttpException("token is invalid.");
 }
 return static::findOne(['api_token' => $token, 'status' => self::STATUS_ACTIVE]);
 // throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.');
}

驗證完token的有效性,下面就要開始實現(xiàn)主要的業(yè)務(wù)邏輯部分了.PHP應(yīng)用

/**
 * 獲取用戶信息
 */
public function actionUserProfile ($token)
{
 // 到這一步,token都認(rèn)為是有效的了
 // 下面只需要實現(xiàn)業(yè)務(wù)邏輯即可,下面僅僅作為案例,比如你可能需要關(guān)聯(lián)其他表獲取用戶信息等等
 $user = User::findIdentityByAccessToken($token);
 return [
  'id' => $user->id,
  'username' => $user->username,
  'email' => $user->email,
 ];
}

服務(wù)端返回的數(shù)據(jù)類型定義PHP應(yīng)用

在postman中我們可以以何種數(shù)據(jù)類型輸出的接口的數(shù)據(jù),但是,有些人發(fā)現(xiàn),當(dāng)我們把postman模擬請求的地址copy到瀏覽器地址欄,返回的又卻是xml格式了,而且我們明明在UserProfile操作中返回的是屬組,怎么回事呢?PHP應(yīng)用

這其實是官方搗的鬼啦,我們一層層源碼追下去,發(fā)現(xiàn)在yii\rest\Controller類中,有一個 contentNegotiator行為,該行為指定了允許返回的數(shù)據(jù)格式formats是json和xml,返回的最終的數(shù)據(jù)格式根據(jù)請求頭中Accept包含的首先出現(xiàn)在formats中的為準(zhǔn),你可以在yii\filters\ContentNegotiator的negotiateContentType方法中找到答案.PHP應(yīng)用

你可以在瀏覽器的請求頭中看到PHP應(yīng)用

Accept:PHP應(yīng)用

text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8PHP應(yīng)用

即application/xml首先出現(xiàn)在formats中,所以返回的數(shù)據(jù)格式是xml類型,如果客戶端獲取到的數(shù)據(jù)格式想按照json進行解析,只需要設(shè)置請求頭的Accept的值等于application/json即可PHP應(yīng)用

有同學(xué)可能要說,這樣太麻煩了,啥年代了,誰還用xml,我就想服務(wù)端輸出json格式的數(shù)據(jù),怎么做?PHP應(yīng)用

辦法就是用來解決問題滴,來看看怎么做.api\config\main.php文件中增加對response的配置PHP應(yīng)用

'response' => [
 'class' => 'yii\web\Response',
 'on beforeSend' => function ($event) {
  $response = $event->sender;
  $response->format = yii\web\Response::FORMAT_JSON;
 },
],

如此,不管你客戶端傳什么,服務(wù)端最終輸出的都會是json格式的數(shù)據(jù)了.PHP應(yīng)用

自定義錯誤處理機制
PHP應(yīng)用

再來看另外一個比較常見的問題：PHP應(yīng)用

你看我們上面幾個方法哈,返回的結(jié)果是各式各樣的,這樣就給客戶端解析增加了困擾,而且一旦有異常拋出,返回的代碼還都是一堆一堆的,頭疼,怎么辦?PHP應(yīng)用

說到這個問題之前呢,我們先說一下yii中先關(guān)的異常處理類,當(dāng)然,有很多哈.比如下面常見的一些,其他的自己去挖掘PHP應(yīng)用

yii\web\BadRequestHttpException
yii\web\ForbiddenHttpException
yii\web\NotFoundHttpException
yii\web\ServerErrorHttpException
yii\web\UnauthorizedHttpException
yii\web\TooManyRequestsHttpException

實際開發(fā)中各位要善于去利用這些類去捕獲異常,拋出異常.說遠了哈,我們回到重點,來說如何自定義接口異常響應(yīng)或者叫自定義統(tǒng)一的數(shù)據(jù)格式,比如向下面這種配置,統(tǒng)一響應(yīng)客戶端的格式標(biāo)準(zhǔn).PHP應(yīng)用

'response' => [
 'class' => 'yii\web\Response',
 'on beforeSend' => function ($event) {
  $response = $event->sender;
  $response->data = [
   'code' => $response->getStatusCode(),
   'data' => $response->data,
   'message' => $response->statusText
  ];
  $response->format = yii\web\Response::FORMAT_JSON;
 },
],

說道了那么多,本文就要結(jié)束了,剛開始接觸的同學(xué)可能有一些蒙,不要蒙,慢慢消化,先知道這么個意思,了解下restful api接口在整個過程中是怎么用token授權(quán)的就好.這樣真正實際用到的時候,你也能舉一反三!PHP應(yīng)用

總結(jié)PHP應(yīng)用

以上就是這篇文章的全部內(nèi)容了,希望本文的內(nèi)容對大家的學(xué)習(xí)或者工作能帶來一定的幫助,如果有疑問大家可以留言交流,謝謝大家對維易PHP的支持.PHP應(yīng)用

轉(zhuǎn)載請注明本頁網(wǎng)址：
http://www.fzlkiss.com/jiaocheng/776.html