2. 程式人生 > >yii2 resetful 授權驗證

yii2 resetful 授權驗證

阿新 • • 發佈：2017-05-18
沒有 cep 解決問題 err 簡單 允許 net oom ceo

什麽是restful風格的api呢？我們之前有寫過大篇的文章來介紹其概念以及基本操作。

既然寫過了，那今天是要說點什麽嗎？

這篇文章主要針對實際場景中api的部署來寫。

我們今天就來大大的侃侃那些年api遇到的授權驗證問題！獨家幹活，如果看完有所受益，記得不要忘記給我點贊哦。

業務分析

我們先來了解一下整個邏輯

  1. 用戶在客戶端填寫登錄表單
  2. 用戶提交表單，客戶端請求登錄接口login
  3. 服務端校驗用戶的帳號密碼，並返回一個有效的token給客戶端
  4. 客戶端拿到用戶的token，將之存儲在客戶端比如cookie中
  5. 客戶端攜帶token訪問需要校驗的接口比如獲取用戶個人信息接口
  6. 服務端校驗token的有效性，校驗通過，反正返回客戶端需要的信息，校驗失敗，需要用戶重新登錄

本文我們以用戶登錄，獲取用戶的個人信息為例進行詳細的完整版說明。

以上，便是我們本篇文章要實現的重點。先別激動，也別緊張，分析好了之後，細節部分我們再一步一個腳印走下去。

準備工作

  1. 你應該有一個api應用，如果你還沒有，請先移步這裏→_→Restful api基礎
  2. 對於客戶端，我們準備采用postman進行模擬，如果你的google瀏覽器還沒有安裝postman，請先自行下載
  3. 要測試的用戶表需要有一個api_token的字段，沒有的請先自行添加，並保證該字段足夠長度
  4. api應用開啟了路由美化，並先配置post類型的login操作和get類型的signup-test操作
  5. 關閉了user組件的session會話

關於上面準備工作的第4點和第5點，我們貼一下代碼方便理解

‘components‘ => [
    ‘user‘ => [ 
        ‘identityClass‘ => ‘common\models\User‘,
        ‘enableAutoLogin‘ => true,
        ‘enableSession‘ => false,
    ],
    ‘urlManager‘ => [
        ‘enablePrettyUrl‘ => true,
        ‘showScriptName‘ => false
 
,
        ‘enableStrictParsing‘ => true,
        ‘rules‘ => [
            [
                ‘class‘ => ‘yii\rest\UrlRule‘,
                ‘controller‘ => [‘v1/user‘],
                ‘extraPatterns‘ => [
                    ‘POST login‘ => ‘login‘,
                    ‘GET signup-test‘ => ‘signup-test‘,
                ]
            ],
        ]
    ],
    // ......
],

signup-test操作我們後面添加測試用戶，為登錄操作提供便利。其他類型的操作後面看需要再做添加。

認證類的選擇

我們在api\modules\v1\controllers\UserController中設定的model類指向 common\models\User類，為了說明重點這裏我們就不單獨拿出來重寫了，看各位需要，有必要的話再單獨copy一個User類到api\models下。

校驗用戶權限我們以 yii\filters\auth\QueryParamAuth 為例

use yii\filters\auth\QueryParamAuth;

public function behaviors() 
{
    return ArrayHelper::merge (parent::behaviors(), [ 
            ‘authenticator‘ => [ 
                ‘class‘ => QueryParamAuth::className() 
            ] 
    ] );
}

如此一來，那豈不是所有訪問user的操作都需要認證了？那不行，客戶端第一個訪問login操作的時候哪來的token，yii\filters\auth\QueryParamAuth對外提供一個屬性，用於過濾不需要驗證的action。我們將UserController的behaviors方法稍作修改

public function behaviors() 
{
    return ArrayHelper::merge (parent::behaviors(), [ 
            ‘authenticator‘ => [ 
                ‘class‘ => QueryParamAuth::className(),
                ‘optional‘ => [
                    ‘login‘,
                    ‘signup-test‘
                ],
            ] 
    ] );
}

這樣login操作就無需權限驗證即可訪問了。

添加測試用戶

為了避免讓客戶端登錄失敗，我們先寫一個簡單的方法，往user表裏面插入兩條數據，便於接下來的校驗。

UserController增加signupTest操作，註意此方法不屬於講解範圍之內，我們僅用於方便測試。

use common\models\User;
/**
 * 添加測試用戶
 */
public function actionSignupTest ()
{
    $user = new User();
    $user->generateAuthKey();
    $user->setPassword(‘123456‘);
    $user->username = ‘111‘;
    $user->email = [email protected];
    $user->save(false);

    return [
        ‘code‘ => 0
    ];
}

如上，我們添加了一個username是111，密碼是123456的用戶

登錄操作

假設用戶在客戶端輸入用戶名和密碼進行登錄，服務端login操作其實很簡單，大部分的業務邏輯處理都在api\models\loginForm上，來先看看login的實現

use api\models\LoginForm;

/**
 * 登錄
 */
public function actionLogin ()
{
    $model = new LoginForm;
    $model->setAttributes(Yii::$app->request->post());
    if ($user = $model->login()) {
        if ($user instanceof IdentityInterface) {
            return $user->api_token;
        } else {
            return $user->errors;
        }
    } else {
        return $model->errors;
    }
}

登錄成功後這裏給客戶端返回了用戶的token，再來看看登錄的具體邏輯的實現

新建api\models\LoginForm.PHP

<?php
namespace api\models;

use Yii;
use yii\base\Model;
use common\models\User;

/**
 * Login form
 */
class LoginForm extends Model
{
    public $username;
    public $password;

    private $_user;

    const GET_API_TOKEN = ‘generate_api_token‘;

    public function init ()
    {
        parent::init();
        $this->on(self::GET_API_TOKEN, [$this, ‘onGenerateApiToken‘]);
    }


    /**
     * @inheritdoc
     * 對客戶端表單數據進行驗證的rule
     */
    public function rules()
    {
        return [
            [[‘username‘, ‘password‘], ‘required‘],
            [‘password‘, ‘validatePassword‘],
        ];
    }

    /**
     * 自定義的密碼認證方法
     */
    public function validatePassword($attribute, $params)
    {
        if (!$this->hasErrors()) {
            $this->_user = $this->getUser();
            if (!$this->_user || !$this->_user->validatePassword($this->password)) {
                $this->addError($attribute, ‘用戶名或密碼錯誤.‘);
            }
        }
    }
    /**
     * @inheritdoc
     */
    public function attributeLabels()
    {
        return [
            ‘username‘ => ‘用戶名‘,
            ‘password‘ => ‘密碼‘,
        ];
    }
    /**
     * Logs in a user using the provided username and password.
     *
     * @return boolean whether the user is logged in successfully
     */
    public function login()
    {
        if ($this->validate()) {
            $this->trigger(self::GET_API_TOKEN);
            return $this->_user;
        } else {
            return null;
        }
    }

    /**
     * 根據用戶名獲取用戶的認證信息
     *
     * @return User|null
     */
    protected function getUser()
    {
        if ($this->_user === null) {
            $this->_user = User::findByUsername($this->username);
        }

        return $this->_user;
    }

    /**
     * 登錄校驗成功後，為用戶生成新的token
     * 如果token失效，則重新生成token
     */
    public function onGenerateApiToken ()
    {
        if (!User::apiTokenIsValid($this->_user->api_token)) {
            $this->_user->generateApiToken();
            $this->_user->save(false);
        }
    }
}

我們回過頭來看一下，當我們在UserController的login操作中調用LoginForm的login操作後都發生了什麽

1、調用LoginForm的login方法

2、調用validate方法，隨後對rules進行校驗

3、rules校驗中調用validatePassword方法，對用戶名和密碼進行校驗

4、validatePassword方法校驗的過程中調用LoginForm的getUser方法，通過common\models\User類的findByUsername獲取用戶，找不到或者common\models\User的validatePassword對密碼校驗失敗則返回error

5、觸發LoginForm::GENERATE_API_TOKEN事件，調用LoginForm的onGenerateApiToken方法,通過common\models\User的apiTokenIsValid校驗token的有效性，如果無效，則調用User的generateApiToken方法重新生成

註意common\models\User類必須是用戶的認證類，如果不知道如何創建完善該類，請圍觀這裏 用戶管理之user組件的配置

下面補充本節增加的common\models\User的相關方法

/**
 * 生成 api_token
 */
public function generateApiToken()
{
    $this->api_token = Yii::$app->security->generateRandomString() . ‘_‘ . time();
}

/**
 * 校驗api_token是否有效
 */
public static function apiTokenIsValid($token)
{
    if (empty($token)) {
        return false;
    }

    $timestamp = (int) substr($token, strrpos($token, ‘_‘) + 1);
    $expire = Yii::$app->params[‘user.apiTokenExpire‘];
    return $timestamp + $expire >= time();
}

繼續補充apiTokenIsValid方法中涉及到的token有效期，在api\config\params.php文件內增加即可

<?php
return [
    // ...
    // token 有效期默認1天
    ‘user.apiTokenExpire‘ => 1*24*3600,
];

到這裏呢，客戶端登錄 服務端返回token給客戶端就完成了。

按照文中一開始的分析，客戶端應該把獲取到的token存到本地，比如cookie中。以後再需要token校驗的接口訪問中，從本地讀取比如從cookie中讀取並訪問接口即可。

根據token請求用戶的認證操作

假設我們已經把獲取到的token保存起來了，我們再以訪問用戶信息的接口為例。

yii\filters\auth\QueryParamAuth類認定的token參數是 access-token，我們可以在行為中修改下

public function behaviors() 
{
    return ArrayHelper::merge (parent::behaviors(), [ 
            ‘authenticator‘ => [ 
                ‘class‘ => QueryParamAuth::className(),
                ‘tokenParam‘ => ‘token‘,
                ‘optional‘ => [
                    ‘login‘,
                    ‘signup-test‘
                ],
            ] 
    ] );
}

這裏將默認的access-token修改為token。

我們在配置文件的urlManager組件中增加對userProfile操作

‘extraPatterns‘ => [
    ‘POST login‘ => ‘login‘,
    ‘GET signup-test‘ => ‘signup-test‘,
    ‘GET user-profile‘ => ‘user-profile‘,
]

我們用postman模擬請求訪問下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145發現，拋出了一個異常

\"findIdentityByAccessToken\" is not implemented.

這是怎麽回事呢？

我們找到 yii\filters\auth\QueryParamAuth 的authenticate方法，發現這裏調用了 common\models\User類的loginByAccessToken方法，有同學疑惑了，common\models\User類沒實現loginByAccessToken方法為啥說findIdentityByAccessToken方法沒實現？如果你還記得common\models\User類實現了yii\web\user類的接口的話，你應該會打開yii\web\User類找答案。沒錯，loginByAccessToken方法在yii\web\User中實現了，該類中調用了common\models\User的findIdentityByAccessToken，但是我們看到，該方法中通過throw拋出了異常，也就是說這個方法要我們自己手動實現！

這好辦了，我們就來實現下common\models\User類的findIdentityByAccessToken方法吧

public static function findIdentityByAccessToken($token, $type = null)
{
    // 如果token無效的話，
    if(!static::apiTokenIsValid($token)) {
        throw new \yii\web\UnauthorizedHttpException("token is invalid.");
    }

    return static::findOne([‘api_token‘ => $token, ‘status‘ => self::STATUS_ACTIVE]);
    // throw new NotSupportedException(‘"findIdentityByAccessToken" is not implemented.‘);
}

驗證完token的有效性，下面就要開始實現主要的業務邏輯部分了。

/**
 * 獲取用戶信息
 */
public function actionUserProfile ($token)
{
    // 到這一步，token都認為是有效的了
    // 下面只需要實現業務邏輯即可，下面僅僅作為案例，比如你可能需要關聯其他表獲取用戶信息等等
    $user = User::findIdentityByAccessToken($token);
    return [
        ‘id‘ => $user->id,
        ‘username‘ => $user->username,
        ‘email‘ => $user->email,
    ];
}

服務端返回的數據類型定義

在postman中我們可以以何種數據類型輸出的接口的數據，但是，有些人發現，當我們把postman模擬請求的地址copy到瀏覽器地址欄，返回的又卻是xml格式了，而且我們明明在UserProfile操作中返回的是屬組，怎麽回事呢？

這其實是官方搗的鬼啦，我們一層層源碼追下去，發現在yii\rest\Controller類中，有一個 contentNegotiator行為，該行為指定了允許返回的數據格式formats是json和xml，返回的最終的數據格式根據請求頭中Accept包含的首先出現在formats中的為準，你可以在yii\filters\ContentNegotiator的negotiateContentType方法中找到答案。

你可以在瀏覽器的請求頭中看到

Accept:

text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

即application/xml首先出現在formats中，所以返回的數據格式是xml類型，如果客戶端獲取到的數據格式想按照json進行解析，只需要設置請求頭的Accept的值等於application/json即可

有同學可能要說，這樣太麻煩了，啥年代了，誰還用xml，我就想服務端輸出json格式的數據，怎麽做？

辦法就是用來解決問題滴，來看看怎麽做。api\config\main.php文件中增加對response的配置

‘response‘ => [
    ‘class‘ => ‘yii\web\Response‘,
    ‘on beforeSend‘ => function ($event) {
        $response = $event->sender;
        $response->format = yii\web\Response::FORMAT_JSON;
    },
],

如此，不管你客戶端傳什麽，服務端最終輸出的都會是json格式的數據了。

自定義錯誤處理機制

再來看另外一個比較常見的問題：

你看我們上面幾個方法哈，返回的結果是各式各樣的，這樣就給客戶端解析增加了困擾，而且一旦有異常拋出，返回的代碼還都是一堆一堆的，頭疼，怎麽辦？

說到這個問題之前呢，我們先說一下yii中先關的異常處理類，當然，有很多哈。比如下面常見的一些，其他的自己去挖掘

yii\web\BadRequestHttpException
yii\web\ForbiddenHttpException
yii\web\NotFoundHttpException
yii\web\ServerErrorHttpException
yii\web\UnauthorizedHttpException
yii\web\TooManyRequestsHttpException

實際開發中各位要善於去利用這些類去捕獲異常，拋出異常。說遠了哈，我們回到重點，來說如何自定義接口異常響應或者叫自定義統一的數據格式，比如向下面這種配置，統一響應客戶端的格式標準。

‘response‘ => [
    ‘class‘ => ‘yii\web\Response‘,
    ‘on beforeSend‘ => function ($event) {
        $response = $event->sender;
        $response->data = [
            ‘code‘ => $response->getStatusCode(),
            ‘data‘ => $response->data,
            ‘message‘ => $response->statusText
        ];
        $response->format = yii\web\Response::FORMAT_JSON;
    },
],

說道了那麽多，本文就要結束了，剛開始接觸的同學可能有一些蒙，不要蒙，慢慢消化，先知道這麽個意思，了解下restful api接口在整個過程中是怎麽用token授權的就好。這樣真正實際用到的時候，你也能舉一反三！老樣子，有任何問題或者贊美的話，下方留言哦

轉載自白狼棧

yii2 resetful 授權驗證

相關推薦

yii2 resetful 授權驗證

沒有 cep 解決問題 err 簡單 允許 net oom ceo 什麽是restful風格的api呢？我們之前有寫過大篇的文章來介紹其概念以及基本操作。 既然寫過了，那今天是要說點什麽嗎？ 這篇文章主要針對實際場景中api的部署來寫。 我們今天就來大大的侃侃那些年api遇

yii2專案實戰-restful api之授權驗證

什麼是restful風格的api呢？我們之前有寫過大篇的文章來介紹其概念以及基本操作。 既然寫過了，那今天是要說點什麼嗎？ 這篇文章主要針對實際場景中api的部署來寫。 我們今天就來大大的侃侃那些年api遇到的授權驗證問題！獨家幹活，如果看完有所受益，記得不要忘記給

yii2數據驗證

enable del ror rom tor 則無 user trap ava 1. 客戶端驗證 yii根據AR類rules()中的驗證規則生成相應的Javascript驗證代碼。通過設置參數enableClientValidation的值來決定是否啟用 客戶端驗證，默認為

Yii2自帶驗證碼實現

框架 point logs classname 行為 widget ive mage idg 　　總共分為三個方面：控制器配置、模型rules配置和視圖配置。 第一步：控制器配置 　　　　將下列代碼配置在actions中，請求驗證碼鏈接對應為 “控制器/cap

C# 加密狗 超級狗 加密程序 程序授權示例 程序授權驗證

分享 簡單的 替換 超級狗 目前 文件 允許 失效 博文 本篇針對超級狗進行講解，對應的超級狗套件的工具包版本為2.4版本。超級狗圖片如下： 主要包含兩個狗，一個是超級狗，一個是開發狗，在本博文中都是必須的。首先先安裝光盤中的開發套間。 接下來就開始演示一個簡單的C#生成

ASP.NET MVC使用AllowAnonymous特性跳過授權驗證

AllowAnonymous表示一個特性，該特性用於標記在授權期間要跳過 System.Web.Mvc.AuthorizeAttribute 的控制器和操作。 1、在Authorize過濾器類中新增如下程式碼 //判斷是否跳過授權過濾器 if (filterContext.ActionD

Shrio授權驗證詳解

原文連結 所謂授權，就是控制你是否能訪問某個資源，比如說，你可以方位page資料夾下的jsp頁面，但是不可以訪問page資料夾下的admin資料夾下的jsp頁面。 在授權中，有三個核心元素：許可權，角色，使用者。 每個使用者可以有多個角色，每個角色也可以有多個許可權。

從壹開始前後端分離 [ Vue2.0+.NET Core2.1] 二十四║ Vuex + JWT 實現授權驗證登陸

壹週迴顧 哈嘍，又是元氣滿滿的一個週一，又與大家見面了，週末就是團圓節了，正好咱們的前後端也要團圓了，為什麼這麼說呢，因為以後的開發可能就需要前後端一起了，兩邊也終於會師了，還有幾天Vue系列就基本告一段落了，大家也好好加油鴨，今天將的內容呢，其實細心的你看到題目應該就能大家猜到了，前提是一直看本系列的小夥

ASP.NET CORE API Swagger+IdentityServer4授權驗證

簡介 本來不想寫這篇博文，但在網上找到的文章部落格都沒有完整配置資訊，所以這裡記錄下。 不瞭解IdentityServer4的可以看看我之前寫的入門博文 Swagger 官方演示地址 原始碼地址 配置IdentityServer4服務端 首先建立一個新的ASP.NET Core專案。 &nb

shiro二之授權驗證

原文地址：https://blog.csdn.net/sharetop/article/details/50195609 繼續上回，昨天我們發現，一旦我們完成Spring的必要配置之後，Shiro在認證方面的程式碼量是非常少的。今天我們來看看關於授權（Authorization），Shiro又是

yii2.0-rules驗證規則應用例項

Rules驗證規則： required : 必須值驗證屬性||CRequiredValidator 的別名, 確保了特性不為空. [['欄位名1','欄位名2'],required]    //欄位1 2 必填 [['欄位名'],required,'requiredVa

IdentityServer4-前後端分離的授權驗證（六）

上兩節介紹完Hybrid模式在MVC下的使用，包括驗證從資料獲取的User和Claim對MVC的身份授權。本節將介紹Implicit模式在JavaScript應用程式中的使用，使用Node.js+Express構建JavaScript客戶端，實現前後端分離。本節授權服務和資源伺服器基於第四和第五節。 &

IdentityServer4-從資料庫獲取User登入並對Claims授權驗證（五）

原文: IdentityServer4-從資料庫獲取User登入並對Claims授權驗證（五） 本節將在第四節基礎上介紹如何實現IdentityServer4從資料庫獲取User進行驗證，並對Claim進行許可權設定。 一、新建Web API資源服務，命名為ResourceAPI （1）新建API專

IdentityServer4-MVC+Hybrid實現Claims授權驗證（四）

原文: IdentityServer4-MVC+Hybrid實現Claims授權驗證（四） 上節以對話形式，大概說了幾種客戶端授權模式的原理，這節重點介紹Hybrid模式在MVC下的使用。且為實現IdentityServer4從資料庫獲取User進行驗證，並對Claim進行許可權設定打下基礎（第五節介紹）。

IdentityServer4-從數據庫獲取User登錄並對Claims授權驗證（五）

bin inf 程序 npr values hash uil 設置 文件夾 原文:IdentityServer4-從數據庫獲取User登錄並對Claims授權驗證（五）本節將在第四節基礎上介紹如何實現IdentityServer4從數據庫獲取User進行驗證，並對Claim

加密狗 超級狗 加密程式 程式授權示例 程式授權驗證

篇針對超級狗進行講解，對應的超級狗套件的工具包版本為2.4版本。超級狗圖片如下： 主要包含兩個狗，一個是超級狗，一個是開發狗，在本博文中都是必須的。首先先安裝光碟中的開發套間。 接下來就開始演示一個簡單的C#生成的程式的授權新增。     示例資料夾如下： 這是一個簡單

微信網頁授權—驗證伺服器配置

第一步，成為開發者 1.填寫伺服器配置 登入微信公眾平臺官網後，在公眾平臺官網的開發-基本設定頁面，勾選協議成為開發者，點選“修改配置”按鈕，填寫伺服器地址（URL）、Token和EncodingAESKey，其中URL是開發者用來接收微信訊息和事件的介面U

（七）、ZooKeeper 授權驗證

1.Zookeeper許可權介紹 ZooKeeper 的許可權管理亦即 ACL 控制功能通過 Server 、 Client 兩端協調完成： Server 端： 一個 ZooKeeper 的節點（ z

微信開發第四篇：網頁授權驗證

public function app_web_detail(){//1.獲取code $scope = 'snsapi_userinfo';//授權作用域(snsapi_base或snsapi_userinfo)//開發者的appid$appid = 'xxx';//自動跳轉到下面的方法$redirect_

.Net Core官方的 JWT 授權驗證

什麼是JWT？ JSON Web令牌（JWT）是一個開放標準（RFC 7519），它定義了一種緊湊且自包含的方式，用於在各方之間安全地傳輸資訊作為JSON物件。由於此資訊是經過數字簽名的，因此可以被驗證和信任。可以使用祕密（使用HMAC演算法）或使用RSA或ECDSA的公鑰/私鑰對對JWT進行簽名。 儘管可以