服務器端數據合法性驗證：簽名sign和口令token原理

有時候，你也許會想：

我寫的接口，那別人要是知道url，並且知道其需要的數據結構和邏輯，那不是都可以訪問了？

甚至是，客戶點傳遞過來的數據，是不是被惡意修改了？

這時，我們可能需要“驗證”一下。比如：登錄驗證，只有登錄以后才能來到后台。

 

這里給出幾種【驗證】方式，大神勿噴：

1：sign驗證法：

這種驗證方式，一般過程是：

第一：給你一個【私鑰】[app_secret] 和[app_id]

第二：你要提交的所有數據都需要提供sign簽名。

第三：sign簽名的獲取方式。

例如：給用戶id為99的人增加100積分：

 

$app_id = 'Te001';
$secret = 'e10adc3949ba59abbe56e057f20f883e';

$url = 'http://127.0.0.1/test/apiDataCheck';
$post = array(
    'user_id' => 99,
    'point' => 100
);


function addSign($url, $data){
    $str = '';
    $data['app_id'] = $app_id;
    ksort($data);
    foreach($data as $k => $v){
        $str .= $k.'='.$v.'&';
    }
    $str = substring($str, 0, -1);
    $str = $url.'?'.$str.$secret;
    $data['sign'] = md5($str);
    return $data;
}

curl_post($url, addSign($url,$post));

 

addSign 就是一個sign的獲取方式：所有數據加上app_id，字段順序排序，以get參數方式連接。然后url+?+get參數+私鑰，進行md5加密獲取sign簽名。進而進行接口調用。

第四：服務器端驗證數據合法性。

 

$url = 'http://127.0.0.1/test/apiDataCheck';
$app_secret = 'select app_secret from app_id_secret where app_id='.intval($_POST['app_id']);

function checkSign($url, $post){
    $str = '';
    $sign = $post['sign'];
    unset($post['sign']);
    foreach($post as $k => $v){
        $str .= $k.'='.$v.'&';
    }
    $str = substring($str, 0, -1);
    $str = $url.'?'.$str.$app_secret;
    return $sign == md5($str);
}

if($app_secret && checkSign($url, $_POST)){
    $res = 'update user_point set point=point+100 where user_id='.$_POST['user_id'];
}

 

接口在操作數據之前，首先按照原本既定的sign生成方式，驗證sign合法性，進而進行下一步操作。

 

很多第三方的接口都存在這樣的一個簽名驗證，如：美團外賣和微信等。但其原理大同小異。

 

2：token法：

token法的步驟大概是：

1：給你一個app_id和app_secret。

2：提供一個利用app_id和app_secret獲取token的接口。

3：token的時效性設定。

4：獲取token接口的使用次數限制。

 

1：獲取token
$app_id = 'Token001';
$app_secret = 'e10adc3949ba59abbe56e057f20f883e';

$url = 'http://127.0.0.1/token/getToken?app_id='.$app_ip.'&app_secret='.$app_secret;

$token = curl_get($url);

// $token = array(
//     'token' => 'e10adc3949ba59abbe56e057f20f883e',
//     'expire' => '1444444400'
// );

session('token', $token['token']);
session('expire', $token['expire']);

2：接口調用
$url = 'http://127.0.0.1/token/getUserInfo';
$post['user_id'] = 1;
if(time() < session('expire')){
    $post['user_id'] = 1;
    $post['token'] = session('token');
}else{
    步驟1：
}
$userInfo = curl_post($post);

 

 

5：服務器驗證token：

 

1：生成token並返回

define('EXPIRE', 3600);
$post = array(
    $app_id = 'Token001';
    $app_secret = 'e10adc3949ba59abbe56e057f20f883e';
);
$tcount = 'select count(*) from app_token where app_id='.$post['app_id'];
if($tcount >= 50){
    // app_id 獲取token次數太多
}else{
    $token['token'] = md5($post['app_id'].time().$post['app_secret'].EXPIRE);
    $token['expire'] = time()+EXPIRE;
    $insert = 'insert into app_token value(null, '.$post['app_id'].', '.$token['token'].');';
}

2：接口驗證token
$post = array(
    $user_id = 1;
    $token = 'e10adc3949ba59abbe56e057f20f883e';
);
$token = 'select token from app_token where app_id='.$post['app_id'].' order by id desc limit 1';

if($token == $post['token']){
    return 'select * from user where user_id='.$post['user_id'];
}else{
    // token 錯誤
}

 

token的生成辦法可以自由設定，token的獲取次數和過期時間都可以加進去。上例只是說明下原理和思路。