如何处理对 PHP 编写的 API 的授权

Question

因此，我有一个非常简单的服务的想法，该服务将提供 API，并且我知道如何在 PHP 中编写 REST-ish API，但我所做的一切都可以免费访问。对于这个，我想通过密钥/秘密对或基本的 http 身份验证提供访问权限。

我也不知道该怎么办。

Answer 1

这一切都是通过某种形式的 HTTP 标头来实现的。正常的登录过程通常使用 cookie，因此会发送服务器接收到的请求标头 Cookie: FOO=owiegwoeugiaweg。您可以对 API 执行相同的操作，但这通常不是最好的做法。

更好的是使用某些标头字段（例如 Authorization 标头）进行某种形式的授权：

Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

此标头可以包含任何你想要的东西。您可以使用一些自定义密码散列/密钥交换/任何算法，并要求客户端在 Authorization 标头中发送此信息。如果您愿意，您还可以提出自己的任何自定义标头。

对请求进行 REST 身份验证的一个好方法是使用请求签名。其算法取决于您，但应至少包括当前时间、请求正文和用户特定密钥，这些密钥被散列在一起以形成签名。

headers:
    Date: Thu, 20 Oct 2011 04:00:48 GMT
    Authorization: MySchema user123:oiquwetfp32900fjp0q93t1039

where:
    Date          = timestamp, must be within 15 mins of server time
    Authorization = MySchema USERNAME:SIGNATURE
    SIGNATURE     = sha1( Date + REQUEST BODY + PASSKEY )

这样，您实际上是在每个请求中发送用户的密钥，但以不可逆的方式进行加扰，每个请求都是唯一的，但服务器可以通过重复相同的操作来确认（检查有效时间戳，散列日期标头+请求正文 + 用户的密钥）。曾经有很好的文档详细解释了 Amazon Web Services 的此过程，但我现在找不到。尝试研究“请求签名”以获取更多信息。

在服务器端，您可以在 $_SERVER 数组中找到这些 HTTP 标头。您可以通过 file_get_contents('php://input') 获取原始请求正文。