服务器端数据合法性验证：签名sign和口令token原理

有时候，你也许会想：

我写的接口，那别人要是知道url，而且知道其须要的数据结构和逻辑，那不是均可以访问了？

甚至是，客户点传递过来的数据，是否是被恶意修改了？

这时，咱们可能须要“验证”一下。好比：登陆验证，只有登陆之后才能来到后台。

 

这里给出几种【验证】方式，大神勿喷：

1：sign验证法：

这种验证方式，通常过程是：

第一：给你一个【私钥】[app_secret] 和[app_id]

第二：你要提交的全部数据都须要提供sign签名。

第三：sign签名的获取方式。

例如：给用户id为99的人增长100积分：

$app_id = 'Te001';
$secret = 'e10adc3949ba59abbe56e057f20f883e';

$url = 'http://127.0.0.1/test/apiDataCheck';
$post = array(
'user_id' => 99,
'point' => 100
);

function addSign($url, $data){
$str = '';
$data['app_id'] = $app_id;
ksort($data);
foreach($data as $k => $v){
$str .= $k.'='.$v.'&';
}
$str = substr($str, 0, -1);
$str = $url.'?'.$str.$secret;
$data['sign'] = md5($str);
return $data;
}

curl_post($url, addSign($url,$post));

addSign 就是一个sign的获取方式：全部数据加上app_id，字段顺序排序，以get参数方式链接。而后url+?+get参数+私钥，进行md5加密获取sign签名。进而进行接口调用。

第四：服务器端验证数据合法性。

$url = 'http://127.0.0.1/test/apiDataCheck'; $app_secret = 'select app_secret from app_id_secret where app_id='.intval($_POST['app_id']); function checkSign($url, $post){ $str = ''; $sign = $post['sign']; unset($post['sign']); foreach($post as $k => $v){ $str .= $k.'='.$v.'&'; } $str = substring($str, 0, -1); $str = $url.'?'.$str.$app_secret; return $sign == md5($str); } if($app_secret && checkSign($url, $_POST)){ $res = 'update user_point set point=point+100 where user_id='.$_POST['user_id']; }

接口在操做数据以前，首先按照本来既定的sign生成方式，验证sign合法性，进而进行下一步操做。

 

不少第三方的接口都存在这样的一个签名验证，如：美团外卖和微信等。但其原理大同小异。

 

2：token法：

token法的步骤大概是：

1：给你一个app_id和app_secret。

2：提供一个利用app_id和app_secret获取token的接口。

3：token的时效性设定。

4：获取token接口的使用次数限制。

1：客户端获取token $app_id = 'Token001'; $app_secret = 'e10adc3949ba59abbe56e057f20f883e'; $url = 'http://127.0.0.1/token/getToken?app_id='.$app_ip.'&app_secret='.$app_secret; $token = curl_get($url); // $token = array( // 'token' => 'e10adc3949ba59abbe56e057f20f883e', // 'expire' => '1444444400' // );
 session('token', $token['token']); session('expire', $token['expire']);

2：服务器生成token并返回 define('EXPIRE', 3600); $post = array( $app_id = 'Token001'; $app_secret = 'e10adc3949ba59abbe56e057f20f883e'; ); $tcount = 'select count(*) from app_token where app_id='.$post['app_id']; if($tcount >= 50){ // app_id 获取token次数太多 }else{ $token['token'] = md5($post['app_id'].time().$post['app_secret'].EXPIRE); $token['expire'] = time()+EXPIRE; $insert = 'insert into app_token value(null, '.$post['app_id'].', '.$token['token'].');'; }

5：服务器验证token：

1：接口调用 
$url = 'http://127.0.0.1/token/getUserInfo';
$post['user_id'] = 1; 
if(time() < session('expire')){ 
　　$post['user_id'] = 1; 
　　$post['token'] = session('token');
　　$post['app_id'] = 'Token001';
 }else{ 
　　步骤1：
 } 
$userInfo = curl_post($post);

2：接口验证token $post = array( $user_id = 1; $token = 'e10adc3949ba59abbe56e057f20f883e';
　　 $app_id = 'Token001'; ); $token = 'select token from app_token where app_id='.$post['app_id'].' order by id desc limit 1'; if($token == $post['token']){ return 'select * from user where user_id='.$post['user_id']; }else{ // token 错误
}

token的生成办法能够自由设定，token的获取次数和过时时间均可以加进去。上例只是说明下原理和思路。

ps:签名就是客户端和服务端分别按照某种数据格式把数据加密而后对比（密钥各自存，不要传)

     token是客户端去请求服务器时，服务器生成token,服务器在mysql里面记录下，而后把token返回给客户端，客户端每次访问服务器的时候都会携带token，服务器用记录的token和携带的token作对比。

转载  https://www.cnblogs.com/wicub/p/6707511.html