API接口TOKEN设计

首先需要知道API是什么？

API（Application Programming Interface）即应用程序接口。你可以认为 API 是一个软件组件或是一个 Web 服务与外界进行的交互的接口。而我们在这里要谈论的，是作为一家公司如何跟外界进行交互。从另一个角度来说，API 是一套协议，规定了我们与外界的沟通方式：如何发送请求和接收响应。

 

 

API的特点：

　　1、因为是非开放性的，所以所有的接口都是封闭的，只对公司内部的产品有效；

　　2、因为是非开放性的，所以OAuth那套协议是行不通的，因为没有中间用户的授权过程；

　　3、接口分为需要用户登录才能访问的和不需要用户登录就可访问的；

针对以上特点，移动端与服务端的通信就需要两种不同的TOKEN，一种针对接口的api_token,一种针对用户的user_token;

 

 

一.api_token

 

　　它的职责是保持接口访问的隐蔽性和有效性，保证接口只有可信任的来源才可以访问，参考思路如下：

 

　　按服务器端和客户端都拥有的共同属性生成一个随机串，客户端生成这个串，服务器也按同样算法生成一个串，用来校验客户端的串。

 

　　现在的接口基本是mvc模式，URL基本是restful风格，URL大体格式如下：

 

　　http://www.api.com/模块名/控制器名/方法名?参数名1=参数值1&参数名2=参数值2

 

　　接口token生成规则参考如下：

 

　　　　$api_token = md5 ('模块名' + '控制器名' + '方法名' + '2018-1-18' + '加密密钥') = 789fed3842aabd834e9a5dd7735532de2

 

　　　　1.'2018-1-18' 为当天时间

 

　　　　2.'加密密钥'为私有的加密密钥，手机端需要在服务端注册一个“接口使用者”账号后，系统会分配一个账号及密码，数据表设计参考如下：

 

　字段名及字段类型

　　　　　　　

1 2 3

client_id  varchar(20) 客户端ID   client_secret varchar(20) 客户端(加密)密钥

 

参考代码：

 

<?php

 

    //获取GET参数值

 

    $module = $_GET['module'];

 

    $controller = $_GET['controller']

 

    $action = $_GET['action'];

 

    $client_id = $_GET['client_id'];

 

    $api_token = $_GET[''api_token];

 

    //根据客户端传过来的client_id，查询数据库，获取对应的client_secret

 

    $client_secret = getClientSecret($client_id);

 

    //服务端重新生成一个api_token

 

    $api_token_server = md5($module . $controller . $action . date('Y-m-d', time()) . $client_secret);

 

    //客户端传过来的api_token与服务端生成的api_token进行校对，如果不相等，则表示验证失败

 

    if ($api_token != $api_token_server) {

 

        exit('access deny'); //拒绝访问

 

    }

 

    //验证通过，返回数据给客户端

 

?>

 

 

 

二.user_token

 

　　它的职责是保护用户的用户名及密码多次提交，以防密码泄露。

 

　　如果接口需要用户登录，其访问流程如下：

 

　　　　1、用户提交“用户名”和“密码”，实现登录（条件允许，这一步最好走https）；

 

　　　　2、登录成功后，服务端返回一个user_token，生成规则参考如下：

 

　　　　　　user_token = md5('用户的uid' + 'Unix时间戳') = etye0fgkgk4ca2ttdsl0ae9a5dd77471fgf

 

　　　　　　服务端用数据表维护user_token的状态，表设计如下：

 

　　　　　　字段名及字段类型如下：

 

　　　　　　　　

1 2 3 4 5

user_id int(11) 用户ID   user_token varchar(36) 用户token   expire_time int 过期时间（Unix时间戳）

 

服务端生成user_token后，返回给客户端（自己存储），客户端每次接口请求时，如果接口需要用户登录才能访问，则需要把 user_id与user_token传回给服务端，服务端接受到这2个参数后，需要做以下几步：

 

　　　　  1、检测user_token的有效性；

 

　　　　2、删除过期的user_token表记录；

 

　　　　3、根据user_id，user_token 获取表记录，如果表记录不存在，直接返回错误，如果记录存在，则进行下一步；

 

　　　　4、更新user_token 的过期时间（延期，保证其有效期内连续操作不掉线）；

 

　　　　5、返回接口数据；

 

 

 

 

扩充：生成token算法参考：

 

背景

很多时候我们需要用 token 来作为一些标识, 比如: 一个用户登录后的认证标识.

实现方式

md5 的方式:

1 2 3 4

$v = 1; // 自己定义的 需要hash 的value 值 $key = mt_rand(); // 这里用 随机串作为key $hash = md5($key . $v . mt_rand() . time()); echo $hash;

执行结果: b63426a38f86b726ce0d327d48e47376 看着不是很舒服, 作为强迫症的我 是受不了的.

md5 + base64 的方式

1 2 3 4 5

$v = 1; $key = mt_rand(); $hash = md5($key . $v . mt_rand() . time()); $token = base64_encode($hash); echo $token;

执行结果: MWQyMjE2NmI3NDA1MmRjZTQwOTQzZDZjMWU1OTE5OGU= 看着稍微舒服些了, 但是还不够好, 反观微信的 openid , 一般是不会有后面的 = 号的

优化

1 2 3 4 5

$v = 1; $key = mt_rand(); $hash = md5($key . $v . mt_rand() . time()); $token = str_replace('=', '', base64_encode($hash)); echo $token;

执行结果: Yzg4MWU0OTQ0MTRiZTI0YWYwMDJjOTYyODBkNjFmMTM 这下没有 = 号了, 舒服了些, 但是又太长了, 微信的 openid 可没这么长

换种 hash 试试

sha1 + base64 的方式

1 2 3 4 5

$v = 1; $key = mt_rand(); $hash = hash_hmac("sha1", $v . mt_rand() . time(), $key, true); $token = str_replace('=', '', base64_encode($hash)); echo $token;

执行结果: 7pn0pWzO+/TOoISNtDaewa4CyuXw 是短些了, 可是里面有 +/ 号, 很多情况下用 get 传递时会被 urlcode, urlcode 过后就这样了 7pn0pWzO%2b%2fTOoISNtDaewa4CyuXw, 这显然不是我们想要的

继续优化

1 2 3 4 5

$v = 1; $key = mt_rand(); $hash = hash_hmac("sha1", $v . mt_rand() . time(), $key, true); $token = str_replace('=', '', strtr(base64_encode($hash), '+/', '-_')); echo $token;

执行结果: JM9AkY7SAIROrJ7fhjIU2ApbMsI 这下不会 urlcode了, 看着也舒服些了, 我目前是这样用的...