API 鑒權(quán)新姿勢(shì) - 簽名鑒權(quán)

ormsf 發(fā)布于2019-06-28 14:10 / 2437人閱讀

摘要：鑒權(quán)這是一個(gè)的鑒權(quán)包，采用密鑰加密的鑒權(quán)方式，只要客戶端不被反編譯從而泄露密鑰，該鑒權(quán)方式理論上來說是安全的不考慮量子計(jì)算機(jī)的出現(xiàn)。簽名重復(fù)，規(guī)定時(shí)間內(nèi)出現(xiàn)兩次或以上相同的簽名。

laravel-api-auth

laravel API 鑒權(quán)

這是一個(gè) laravel 的 API 鑒權(quán)包， laravel-api-auth 采用密鑰加密的鑒權(quán)方式，只要客戶端不被反編譯從而泄露密鑰，該鑒權(quán)方式理論上來說是安全的(不考慮量子計(jì)算機(jī)的出現(xiàn))。

項(xiàng)目地址: github.com/96qbhy/laravel-api-auth

安裝

composer require 96qbhy/laravel-api-auth

配置

注冊(cè) ServiceProvider:

QbhyLaravelApiAuthServiceProvider::class,

laravel 5.5+ 版本不需要手動(dòng)注冊(cè)

發(fā)布配置文件

php artisan vendor:publish --provider="QbhyLaravelApiAuthServiceProvider"

在 AppHttpKernal 中注冊(cè)中間件

protected $routeMiddleware = [
    "api_auth" => QbhyLaravelApiAuthLaravelApiAuthMiddleware::class,
    // other ...
];

添加 role

php artisan api_auth

然后按照格式把 access_key 和 secret_key 添加到, config/api_auth.php 里面的 roles 數(shù)組中。

"roles" => [
    "{access_key}" => [
        "name" => "{role_name}",        // 角色名字，例如 android
        "secret_key" => "{secret_key}",
    ],
],

自定義簽名方法 (可選)
config/api_auth.php 中的 encrypting 可以修改為自定義的簽名函數(shù)，該函數(shù)將傳入三個(gè)參數(shù): 密鑰: $secret_key、隨機(jī)字符串: $echostr、時(shí)間戳: $timestamp，返回簽名后的字符串。該函數(shù)默認(rèn)為:

/**
 * @param $secret_key
 * @param $echostr
 * @param $timestamp
 * @return string
 */
function encrypting($secret_key, $echostr, $timestamp) {
    return md5($secret_key . $echostr . $timestamp);
}

自定義簽名校驗(yàn)規(guī)則(可選)
config/api_auth.php 中的 rule 可以修改為自定義的校驗(yàn)函數(shù)，該函數(shù)將傳入三個(gè)參數(shù): 密鑰: $secret_key、客戶端簽名: $signature、服務(wù)端簽名: $server_signature，必須返回布爾值。該函數(shù)默認(rèn)為:

/**
 * @param $secret_key
 * @param $signature
 * @param $server_signature
 * @return bool
 */
function rule($secret_key, $signature, $server_signature)
{
    return $signature === $server_signature;
}

自定義錯(cuò)誤處理(可選)
config/api_auth.php 中的 error_handler 可以修改為自定義的錯(cuò)誤處理函數(shù)，該函數(shù)將傳入兩個(gè)參數(shù): 請(qǐng)求: $request、錯(cuò)誤碼: $code。該函數(shù)默認(rèn)為:

/**
 * @param Request $request
 * @param int $code
 * @return IlluminateHttpJsonResponse
 */
function error_handler($request, $code)
{
    return response()->json([
        "msg" => "Forbidden",
        "code" => $code
    ], 403);
}

$code 可能是以下幾個(gè)值中的一個(gè):

LaravelApiAuthMiddleware::LACK_HEADER -> 缺少請(qǐng)求頭。

LaravelApiAuthMiddleware::ACCESS_KEY_ERROR -> access_key 錯(cuò)誤。

LaravelApiAuthMiddleware::SIGNATURE_ERROR -> 簽名錯(cuò)誤。

LaravelApiAuthMiddleware::SIGNATURE_LAPSE -> 簽名失效，客戶端簽名時(shí)間和服務(wù)端簽名時(shí)間差超過設(shè)置的 timeout 值。

LaravelApiAuthMiddleware::SIGNATURE_REPETITION -> 簽名重復(fù)，規(guī)定時(shí)間內(nèi)出現(xiàn)兩次或以上相同的簽名。

使用 路由中

Route::get("api/example", function(Request $request){
    // $request->get("client_role");
    // todo...
})->middleware(["api_auth"]);
 or
Route::group(["middleware"=>"api_auth"], function(){
    // routes...
});

通過驗(yàn)證后 $request 會(huì)添加一個(gè) client_role 字段，該字段為客戶端的角色名稱。

前端

import axios from "axios";

const access_key = "{access_key}";  // 服務(wù)端生成的 access_key
const secret_key = "{secret_key}";  // 服務(wù)端生成的 secret_key

const timestamp = Date.parse(new Date()) / 1000;    // 取時(shí)間戳
const echostr = "asldjaksdjlkjgqpojg64131321";      // 隨機(jī)字符串自行生成

function encrypting(secret_key, echostr, timestamp){
    return md5(secret_key + echostr + timestamp);    // md5 庫(kù)自行引入
}

const requestConfig = {
    headers: {
        "api-signature": encrypting(secret_key, echostr, timestamp),
        "api-echostr": echostr,
        "api-timestamp": timestamp,
        "api-access-key": access_key
    }
};

axios.post("/api/example",{},requestConfig).then(res=>{
    // todo
});

本例子為 web 前端的例子，其他客戶端同理，生成簽名并且?guī)现付▍?shù)即可正常請(qǐng)求。
通過自定義簽名方法和自定義校驗(yàn)方法，可以使用其他加密方法進(jìn)行簽名，例如 哈希 等其他加密算法。更多自定義可以直接復(fù)制 QbhyLaravelApiAuthLaravelApiAuthMiddleware 中間件后自行修改 。有問題請(qǐng)開 issue 。

96qbhy.com
96qbhy@gmail.com

GPU云服務(wù)器云服務(wù)器鑒權(quán)新鑒權(quán) 帶鑒權(quán) cdnurl鑒權(quán)

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://www.ezyhdfw.cn/yun/26017.html

發(fā)表評(píng)論

登陸后可評(píng)論

0條評(píng)論

ormsf

男|高級(jí)講師

我要關(guān)注我要私信

TA的文章

阿里云服務(wù)器中Docker安裝與鏡像使用【MySQL、redis快速訪問】

閱讀 1286·2021-11-25 09:43
akkocloud：美西圣何塞CN2 GIA VPS，299元/年，1核/512M內(nèi)存/10gSSD

閱讀 1653·2021-10-25 09:47
javascript新手實(shí)例2-CSS操作

閱讀 2524·2019-08-30 13:46
簡(jiǎn)單說 CSS中的 object-fit 與 object-position

閱讀 811·2019-08-29 13:45
angular4中引入echarts

閱讀 1335·2019-08-26 13:29
Flex 布局教程

閱讀 3059·2019-08-23 15:30
微信小程序

閱讀 1168·2019-08-23 14:17
柯里化

閱讀 1373·2019-08-23 13:43

亚洲中字慕日产2020,大陆极品少妇内射AAAAAA,无码av大香线蕉伊人久久,久久精品国产亚洲av麻豆网站

資訊專欄INFORMATION COLUMN

上云采購(gòu)季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺(tái)、長(zhǎng)期優(yōu)惠，快來選購(gòu)！

API 鑒權(quán)新姿勢(shì) - 簽名鑒權(quán)

相關(guān)文章

分布式系統(tǒng)--感性認(rèn)識(shí)JWT

**javascript實(shí)現(xiàn)騰訊AI開放平臺(tái)，調(diào)用API時(shí)的接口鑒權(quán)，生成sign合法簽名**

小程序開發(fā)：上傳圖片到騰訊云

小程序開發(fā)：上傳圖片到騰訊云

JWT+RSA鑒權(quán)

發(fā)表評(píng)論

0條評(píng)論

ormsf

男|高級(jí)講師

TA的文章

阿里云服務(wù)器中Docker安裝與鏡像使用【MySQL、redis快速訪問】

akkocloud：美西圣何塞CN2 GIA VPS，299元/年，1核/512M內(nèi)存/10gSSD

javascript新手實(shí)例2-CSS操作

簡(jiǎn)單說 CSS中的 object-fit 與 object-position

angular4中引入echarts

Flex 布局教程

微信小程序

柯里化

最新活動(dòng)

資訊專欄INFORMATION COLUMN

上云采購(gòu)季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺(tái)、長(zhǎng)期優(yōu)惠，快來選購(gòu)！

API 鑒權(quán)新姿勢(shì) - 簽名鑒權(quán)

相關(guān)文章

發(fā)表評(píng)論

0條評(píng)論

男|高級(jí)講師

TA的文章

最新活動(dòng)

上云采購(gòu)季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺(tái)、長(zhǎng)期優(yōu)惠，快來選購(gòu)！