來源：http://meiyitianabc.blog.163.com/blog/static/105022127201310562811897/
API權限設計總結：
最近在做API的權限設計這一塊，做一次權限設計的總結。
1. 假設我們需要訪問的API接口是這樣的：http://xxxx.com/openapi/v1/get/user/?key=xxxxx&sign=sadasdas×tamp=2013-03-05 10:14:00&c=c&a=a&d=d
2. 接口調用的控制器：openapi/v1/get/user/
3. 步驟一：作為服務端，首先要檢查參數是否正確：key (用戶的key) ;sign(加密的簽名串) ;timestamp (請求的時間，服務端對請求有時間生效)，這些參數如果有一個參數沒傳遞，肯定返回參數不正確的結果。
4. 步驟二：參數如果都傳遞正確，這個時候需要檢查API的白名單權限，API也就是（openapi/v1/get/user/）是否存在在我們的數據庫中，一般會有一張API的數據表，如果調用的API不在我們的數據庫白名單中或者這個API已經關閉訪問了，那么要返回禁止訪問的結果。
5. 步驟三： 如果API在白名單中，那么現在就要檢查用戶的KEY是否正確了，服務端會有一張用戶權限表，這個數據表主要用來記錄用戶的key secret(密鑰) 以及API權限列表，檢查這個用戶對訪問的API（openapi/v1/get/user/）是否有權限，如果有權限則通過，沒權限則關閉。
6. 步驟四： 如果用戶權限通過，這個時候就到了最重要的一步，SIGN簽名的驗證。
簽名算法：
加密方式 md5(POST參數（升序排序，除key sign參數除外） + 用戶密鑰)
PHP加密算法代碼：
- foreach ($p as $v) {
- $temp = explode("=", $v);
- $pArr[$temp[0]] = $temp[1];
- }
- ksort($pArr);
- foreach ($pArr as $k => $v) {
- $pStr2 .= $k . $v ;
- }
- md5($pStr2 . $secret)
注意：加密的時候，需要將timestamp帶上，防止客戶端篡改。
客戶端，將自己需要傳遞的參數進行升序排序，然后加上自己key對應的密鑰（密鑰在服務端數據庫中有一份保存，這個是不能對外公開的）進行MD5加密，通過參數sign傳遞到服務端。
服務端拿到sign值后，對傳遞過來的參數也進行同樣的算法排序，並經過用戶的key查詢得到密鑰，然后進行一次加密算法，得到的服務端的sign和客戶端傳遞過來的sign進行比較，如果相同則表示是可以通過的，如果中途有人篡改數據等，那么最終加密出來的sign就是不一致的，這樣保證了用戶傳遞數據的可靠性和安全性。
7. 步驟五：檢查時間戳時間，比較客戶端時間和服務端時間是否在10分鍾之內，如果10分鍾之外了，那么返回超時的提示，這樣能保證調用過的接口數據能在一定時間內銷毀掉。
8. 步驟六：調用相應邏輯