基於PHP構建OAuth 2.0 服務端 認證平台

OAuth2.0 認證服務

安裝

你可以在github上下載OAuth Server PHP，也可以用下列命令下載，不過內容都是一樣的

mkdir my-oauth2-walkthrough
cd my-oauth2-walkthrough
git clone https://github.com/bshaffer/oauth2-server-php.git -b master

下載后放在根目錄，因為這只是個測試！

在這之后配置數據庫

Database: `oauth2db`

--
-- Database: `oauth2db`
--

-- --------------------------------------------------------

--
-- 表的結構 `oauth_access_tokens`
--

CREATE TABLE IF NOT EXISTS `oauth_access_tokens` (
  `access_token` varchar(40) NOT NULL,
  `client_id` varchar(80) NOT NULL,
  `user_id` varchar(255) DEFAULT NULL,
  `expires` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
  `scope` varchar(2000) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

-- --------------------------------------------------------

--
-- 表的結構 `oauth_authorization_codes`
--

CREATE TABLE IF NOT EXISTS `oauth_authorization_codes` (
  `authorization_code` varchar(40) NOT NULL,
  `client_id` varchar(80) NOT NULL,
  `user_id` varchar(255) DEFAULT NULL,
  `redirect_uri` varchar(2000) DEFAULT NULL,
  `expires` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
  `scope` varchar(2000) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

-- --------------------------------------------------------

--
-- 表的結構 `oauth_clients`
--

CREATE TABLE IF NOT EXISTS `oauth_clients` (
  `client_id` varchar(80) NOT NULL,
  `client_secret` varchar(80) NOT NULL,
  `redirect_uri` varchar(2000) NOT NULL,
  `grant_types` varchar(80) DEFAULT NULL,
  `scope` varchar(100) DEFAULT NULL,
  `user_id` varchar(80) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

--
-- 轉存表中的數據 `oauth_clients`
--

INSERT INTO `oauth_clients` (`client_id`, `client_secret`, `redirect_uri`, `grant_types`, `scope`, `user_id`) VALUES
('testclient', 'testpass', 'https://user.endv.cn/', 'authorization_code', '', '');

-- --------------------------------------------------------

--
-- 表的結構 `oauth_jwt`
--

CREATE TABLE IF NOT EXISTS `oauth_jwt` (
  `client_id` varchar(80) NOT NULL,
  `subject` varchar(80) DEFAULT NULL,
  `public_key` varchar(2000) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

-- --------------------------------------------------------

--
-- 表的結構 `oauth_refresh_tokens`
--

CREATE TABLE IF NOT EXISTS `oauth_refresh_tokens` (
  `refresh_token` varchar(40) NOT NULL,
  `client_id` varchar(80) NOT NULL,
  `user_id` varchar(255) DEFAULT NULL,
  `expires` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
  `scope` varchar(2000) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

-- --------------------------------------------------------

--
-- 表的結構 `oauth_scopes`
--

CREATE TABLE IF NOT EXISTS `oauth_scopes` (
  `scope` text,
  `is_default` tinyint(1) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

-- --------------------------------------------------------

--
-- 表的結構 `oauth_users`
--

CREATE TABLE IF NOT EXISTS `oauth_users` (
  `username` varchar(255) NOT NULL,
  `password` varchar(2000) DEFAULT NULL,
  `first_name` varchar(255) DEFAULT NULL,
  `last_name` varchar(255) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

 我們來建立一個server.php文件來配置server，這個文件可以被所有的終端來調用。

<?php
  /** 配置 */ 
$dsn= 'mysql:dbname=test;host=localhost';
$username = 'test';
$password = 'test';
 
// 錯誤報告（這畢竟是一個演示！）
ini_set('display_errors',1);error_reporting(E_ALL);
 
// 自動加載
require_once('oauth2-server-php/src/OAuth2/Autoloader.php');
OAuth2\Autoloader::register();
$storage = new OAuth2\Storage\Pdo(array('dsn' => $dsn, 'username' => $username, 'password' => $password));
 
// 通過存儲對象或對象數組存儲的oauth2服務器類
$server = new OAuth2\Server($storage);
 
// 授權碼 有效期只有30秒
$server->addGrantType(new OAuth2\GrantType\AuthorizationCode($storage));

// 客戶端證書  
$server->addGrantType(new OAuth2\GrantType\ClientCredentials($storage));

// 用戶憑據
$server->addGrantType(new OAuth2\GrantType\UserCredentials($storage));
// 刷新令牌  啟用這個會報錯，原因未知
// $server->addGrantType(new OAuth2\GrantType\RefreshToken($refreshStorage))

記得配置數據庫的用戶名和密碼 test

Token控制器

下面，我們將建立一個Token控制器，這個控制器URI將會返回OAuth2的Token給客戶端

<?php
 // include our OAuth2 Server object
require_once __DIR__.'/server.php';
 
$server->handleTokenRequest(OAuth2\Request::createFromGlobals())->send();

 測試Token控制器

需要先創建一條記錄，來注冊一個新的應用 (上面腳本中已插入，需要先刪除！)

INSERT INTO `oauth_clients` (`client_id`, `client_secret`, `redirect_uri`, `grant_types`, `scope`, `user_id`) VALUES
('testclient', 'testpass', 'https://user.endv.cn/', 'authorization_code', '', '');

 然后用命令行調用

curl -u testclient:testpass https://user.endv.cn/token.php --data "grant_type=authorization_code&code=f8ef50221f7817f3e01d2d6c31a33f3c40db76a5"

 這里的URL只是示例，實地操作要確定能找到這個token.php

如果運行正常，則顯示

{"access_token":"84c66d296308aad20aa5e065743d2fe30426b046","expires_in":3600,"token_type":"Bearer","scope":null,"refresh_token":"d49cd4d7d875065888fc457c7c714cab9fcf9d69"}

 資源控制器的建立和測試

你創建了Token，你需要在API中測試它：

resource.php

<?php
 
 //資源控制器的建立和測試 
require_once __DIR__.'/server.php';

if (!$server->verifyResourceRequest(OAuth2\Request::createFromGlobals())) {
    $server->getResponse()->send();
    die;
}
$token = $server->getAccessTokenData(OAuth2\Request::createFromGlobals());
echo "User ID associated with this token is {$token['user_id']}";

echo json_encode(array('success' => true, 'message' => '您訪問了我的API!'));
 
  

 然后運行下面的命令，記得將YOUR_TOKEN替換成剛才得到的token，還有確保URL的正確

curl https://user.endv.cn/resource.php --data 'access_token=YOUR_TOKEN'

 如果沒出問題，則會得到下面的結果

{"success":true,"message":"You accessed my APIs!"}

 認證控制器的創建和測試

驗證控制器是OAuth2的殺手鐧，它允許你的平台幫助用戶驗證第三方應用
它不像第一個例子中直接返回一個Access Token，這里稍微復雜一點:

然后在瀏覽器中打開這個URL

https://user.endv.cn/authorize.php?response_type=code&client_id=testclient&state=xyz

 你將會看到一個表單，當你選擇yes的時候會彈出你所獲得的Authorization Code

 現在你可以用這個Authorization Code來剛才建立的token.php獲得TOKEN，命令如下

curl -u testclient:testpass https://user.endv.cn/token.php -d 'grant_type=authorization_code&code=YOUR_CODE'

 就像剛才一樣，你獲得了一個TOKEN

{"access_token":"6f05ad622a3d32a5a81aee5d73a5826adb8cbf63","expires_in":3600,"token_type":"bearer","scope":null}

 請在30秒內完成這個操作，因為Authorization Code的有效期只有30秒

用Access Token聯系本地用戶

當你認證了一個用戶並且分派了一個Token之后，你可能想知道彼時到底是哪個用戶使用了這個Token
你可以使用handleAuthorizeRequest的可選參數user_id來完成，修改你的authorize.php文件

$userid = 1234; // A value on your server that identifies the user
$server->handleAuthorizeRequest($request, $response, $is_authorized, $userid)

 這樣一來，用戶ID就伴隨Token一起存進數據庫了

當Token被客戶端使用的時候，你就知道是哪個用戶了，修改 resource.php 來完成任務

測試：點我測試

 

測試到此結束，后續客戶端的建立。