如何在 PHP 软件上实现 API 密钥？

Question

我正在分发一个 PHP 创建的插件，例如 Wordpress 插件，但我想为其实现 API 密钥，用户需要输入 API 密钥来解锁它才能工作。

那怎么办呢？是的，我已经知道它可以很容易地绕过，因为 PHP 没有编译，但至少它会阻止一些没有 PHP 知识的人。

谢谢..

Answer 1

如果您不关心人们删除您的检查，那么您实际上只需要添加一个 if 语句来验证配置的许可证密钥是否有效。

我注意到您提到您的许可证密钥只是 SHA1 哈希值。您可以轻松地在散列中附加额外的 4 个字符，将其用作校验和。

例如：

function generate_key()
{
  $serial = sha1(uniqid(rand(), true));
  $checksum = substr(md5($serial), 0, 4);
  return $serial . $checksum;
}

function verify_key($key)
{
  $serial = substr($key, 0, 40);
  $checksum = substr($key, -4);
  return md5($serial, 0, 4) == $checksum;
}

这是一个非常简单的例子，但它只是指导性的。

本质上，您将验证许可证密钥在主机服务器上是否有效，而不是对服务器上的脚本执行 ping 操作。

这样做的缺点是任何人都可以通过打开源代码并找到 validate_key 来生成有效密钥。

您可以让它调用外部脚本来执行 verify_key，但这真的值得吗？此外，您将牺牲页面加载时间来验证密钥。

我记得 vBulletin 有一个非常容易破解的许可系统，但他们在几个部分中有一个隐藏的 1x1 图像，可以在其域上 ping 一个脚本。使用日志，他们能够确定哪些域托管其软件的非法副本，并且他们只需向管理员发送一封律师信即可。

如果您想要一个更强大的解决方案，我建议您查看 Zend Guard，但是您似乎并不关心人们破解您的软件，因此就我个人而言，我会尽可能简单。

Answer 2

我认为您不明白 API 密钥是什么。

API 密钥是允许您或脚本访问 API 或在线服务并与之交互的密钥。

您似乎描述的是某种许可证密钥，它会阻止用户在没有付款或注册的情况下操作您的脚本。

虽然 API 密钥通常确实需要付款或注册，但这两者实际上不是一回事。

API 密钥通常用于跟踪使用情况并防止滥用在线服务和数据。

在您的情况下，您似乎只是想限制对脚本的访问。

除非您的脚本对远程数据源具有基本依赖性，否则此方法将不起作用，因为任何对 PHP 具有一定了解的用户都将删除执行验证的代码。

对于 PHP，这同样适用于许可证密钥。用户会找到一种方法来规避它，除非他们需要它来执行脚本。

验证必须远程执行，并且必须有某种激励措施使其保持完整（访问远程数据是显而易见的）。

Answer 3

您可以使用 API 密钥来扰乱实际的源代码。加密源代码的一些重要部分（例如使用libmcrypt），并让脚本加载和解密源代码。当然，找到相关例程的人可以轻松地将源代码转储到磁盘并使用它，但这不会像删除检查那么简单。

Answer 4

这绝对毫无意义。由于它的 php 你必须发送源代码，任何用户都可以删除许可证检查代码并运行它。

此外，人们不喜欢弄乱许可证密钥，除非您的软件真的非常有用、理想或必需，否则他们要么会找到免费的许可证密钥替代品，要么根本不去理会它。