学习thinkphp中api接口数据安全解决方案之授权sign唯一性支持
背景
为了保证客户端的每一次请求sign的唯一性,且只能使用一次,所以我们就需要在代码中去判断每次提交的sign是否唯一
结合redis缓存
引用redis缓存
use think\cache\driver\Redis;
api模块的控制器公共类 Common.php
<?php
namespace app\api\controller;
use app\common\lib\ApiAuth;
use app\common\lib\Time;
use think\Controller;
use app\common\lib\exception\ApiException;
use app\common\lib\Aes;
use think\cache\driver\Redis;
/*
* api接口模块的公共控制器
*/
class Common extends Controller
{
public function _initialize()
{
$this->checkRequestAuth();
}
//验证方法
/*
* 检查app每一次提交的数据是否合法
*/
public function checkRequestAuth()
{
//验证header头的信息
$header = request()->header();
//halt($header);
//sign 客户端工程师加密,服务端工程师解密
//基础数据校验
//如果sign不存在,报错
if (empty($header['sign'])) {
throw new ApiException('签名不存在!');
}
if (empty($header['apptype'])) {
throw new ApiException('客户端不存在!');
}
//验证请求的app客户端是否合法
if (!in_array($header['apptype'], config('app.apptypes'))) {
throw new ApiException('客户端不合法!', 400);
}
//校验sign
$header_result = ApiAuth::checkSign($header);
if (!$header_result) {
throw new ApiException('签名不合法!', 401);
}
//为了保证sign的唯一性,我们使用redis缓存,保证用过的sign,不可以再次使用
$redis = new Redis;
$redis->set($header['sign'], $header['sign'],config('app.api_sign_redis_time'));
}
}
Api签名校验类ApiAuth
ApiAuth.php
<?php
namespace app\common\lib;
use app\common\lib\Aes;
use think\cache\driver\Redis;
class ApiAuth
{
/*
* 生成签名
*/
public static function setSign($data = [])
{
//1 把数组按照字段你排序
ksort($data);
//2 将数组更改为拼接字符串的格式
$sign_str = http_build_query($data);
//3 通过aes加密
return (new Aes())->encrypt($sign_str);
}
//校验签名sign
public static function checkSign($data)
{
//解密
$str = (new Aes())->decrypt($data['sign']);
if (!$str) {
return false;
}
//将字符串你转成数组格式
parse_str($str, $arr);
//比较常用变量的值是否一致
if (!is_array($arr) || $arr['name'] != 'qipa250') {
return false;
}
//校验sign有效期 由于解析后的日期是13位的,除以1000后得到10位数
//两个时间再相减, 超过设置的有效
if ((time() - ceil($arr['time'] / 1000)) > config('app.api_sign_expire_time')) {
return false;
}
//验证sign的唯一性,若是存在,则表示已请求过,重复请求
$redis = new Redis;
if ($redis->get($data['sign'])) {
return false;
}
return true;
}
}
app配置
app.php 设置 api_sign_redis_time
增加签名redis缓存有效期
<?php
return [
'admin_password_pre' => '_qipa250',//后台管理员密码加密后缀
'aeskey' => 'QiPa250',//aes 密钥,服务端和客户端保持一致
'aesiv' => '12345678901234567890123456789012',//aes iv,服务端和客户端保持一致
'apptypes' => ['ios', 'android', 'wechat'],
'api_sign_expire_time' => 10,//sign签名有效期为10s,
'api_sign_redis_time' => 20,//sign签名redis有效期为20s,必须大于api_sign_expire_time,才生效,小于的话,会重复请求,不保证sign请求的唯一性
];
postman请求
第一次成功
在redis中查看,key值已经存在
再次请求,则报异常,因为已经用过了,同一个sign不可以重复请求,