Yii2框架RESTful API教程（二） - 格式化響應，受權認證和速率限制

時間 2019-11-17

標籤 yii2 yii 框架 restful api 教程格式化響應受權認證速率限制欄目 PHP 简体版

原文原文鏈接

以前寫過一篇Yii2框架RESTful API教程（一） - 快速入門，今天接着來探究一下Yii2 RESTful的格式化響應，受權認證和速率限制三個部分php

1、目錄結構

先列出須要改動的文件。目錄以下：html

web
 ├─ common
 │      └─ models 
 │              └ User.php
 └─ frontend
        ├─ config
        │   └ main.php
        └─ controllers
            └ BookController.php

2、格式化響應

Yii2 RESTful支持JSON和XML格式，若是想指定返回數據的格式，須要配置yii\filters\ContentNegotiator::formats屬性。例如，要返回JSON格式，修改frontend/controllers/BookController.php，加入紅色標記代碼:web

namespace frontend\controllers;

use yii\rest\ActiveController;
use yii\web\Response;

class BookController extends ActiveController
{
    public $modelClass = 'frontend\models\Book';

    public function behaviors() {
        $behaviors = parent::behaviors();
        $behaviors['contentNegotiator']['formats']['text/html'] = Response::FORMAT_JSON;
        return $behaviors; }
}

返回XML格式：FORMAT_XML。formats屬性的keys支持MIME類型，而values必須在yii\web\Response::formatters中支持被響應格式名稱。緩存

3、受權認證

RESTful APIs一般是無狀態的，所以每一個請求應附帶某種受權憑證，即每一個請求都發送一個access token來認證用戶。安全

1.配置user應用組件（不是必要的，可是推薦配置）：
　　設置yii\web\User::enableSession屬性爲false（由於RESTful APIs爲無狀態的，當yii\web\User::enableSession爲false，請求中的用戶認證狀態就不能經過session來保持）
　　設置yii\web\User::loginUrl屬性爲null（顯示一個HTTP 403 錯誤而不是跳轉到登陸界面）
具體方法，修改frontend/config/main.php，加入紅色標記代碼：服務器

'components' => [
    ...
    'user' => [
        'identityClass' => 'common\models\User',
        'enableAutoLogin' => true,
        
        'enableSession' => false,
        'loginUrl' => null,
        
    ],
    ...
]

2.在控制器類中配置authenticator行爲來指定使用哪一種認證方式，修改frontend/controllers/BookController.php，加入紅色標記代碼：restful

namespace frontend\controllers;

use yii\rest\ActiveController;
use yii\web\Response;

use yii\filters\auth\CompositeAuth;
use yii\filters\auth\QueryParamAuth;

class BookController extends ActiveController
{
    public $modelClass = 'frontend\models\Book';

    public function behaviors() {
        $behaviors = parent::behaviors();
    
        $behaviors['authenticator'] = [
            'class' => CompositeAuth::className(),
            'authMethods' => [
                /*下面是三種驗證access_token方式*/
                //1.HTTP 基本認證: access token 看成用戶名發送，應用在access token可安全存在API使用端的場景，例如，API使用端是運行在一臺服務器上的程序。
                //HttpBasicAuth::className(),
                //2.OAuth 2: 使用者從認證服務器上獲取基於OAuth2協議的access token，而後經過 HTTP Bearer Tokens 發送到API 服務器。
                //HttpBearerAuth::className(),
                //3.請求參數: access token 看成API URL請求參數發送，這種方式應主要用於JSONP請求，由於它不能使用HTTP頭來發送access token
                //http://localhost/user/index/index?access-token=123
                QueryParamAuth::className(),
            ],
        ];
        
        $behaviors['contentNegotiator']['formats']['text/html'] = Response::FORMAT_JSON;
        return $behaviors;
    }
}

3.建立一張user表session

-- ----------------------------
-- Table structure for user
-- ----------------------------
DROP TABLE IF EXISTS `user`;
CREATE TABLE `user` (
  `id` int(10) unsigned NOT NULL AUTO_INCREMENT,
  `username` varchar(20) NOT NULL DEFAULT '' COMMENT '用戶名',
  `password_hash` varchar(100) NOT NULL DEFAULT '' COMMENT '密碼',
  `password_reset_token` varchar(50) NOT NULL DEFAULT '' COMMENT '密碼token',
  `email` varchar(20) NOT NULL DEFAULT '' COMMENT '郵箱',
  `auth_key` varchar(50) NOT NULL DEFAULT '',
  `status` tinyint(3) unsigned NOT NULL DEFAULT '0' COMMENT '狀態',
  `created_at` int(10) unsigned NOT NULL DEFAULT '0' COMMENT '建立時間',
  `updated_at` int(10) unsigned NOT NULL DEFAULT '0' COMMENT '更新時間',
  `access_token` varchar(50) NOT NULL DEFAULT '' COMMENT 'restful請求token',
  `allowance` int(10) unsigned NOT NULL DEFAULT '0' COMMENT 'restful剩餘的容許的請求數',
  `allowance_updated_at` int(10) unsigned NOT NULL DEFAULT '0' COMMENT 'restful請求的UNIX時間戳數',
  PRIMARY KEY (`id`),
  UNIQUE KEY `username` (`username`),
  UNIQUE KEY `access_token` (`access_token`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

-- ----------------------------
-- Records of user
-- ----------------------------
INSERT INTO `user` VALUES ('1', 'admin', '$2y$13$1KWwchqGvxDeORDt5pRW.OJarf06PjNYxe2vEGVs7e5amD3wnEX.i', '', '', 'z3sM2KZvXdk6mNXXrz25D3JoZlGXoJMC', '10', '1478686493', '1478686493', '123', '4', '1478686493');

在common/models/User.php類中實現 yii\web\IdentityInterface::findIdentityByAccessToken()方法。修改common/models/User.php，加入紅色標記代碼：：框架

public static function findIdentityByAccessToken($token, $type = null)
{
    //findIdentityByAccessToken()方法的實現是系統定義的
    //例如，一個簡單的場景，當每一個用戶只有一個access token, 可存儲access token 到user表的access_token列中， 方法可在User類中簡單實現，以下所示：
    return static::findOne(['access_token' => $token]);
    //throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.');
}

4、速率限制

爲防止濫用，能夠增長速率限制。例如，限制每一個用戶的API的使用是在60秒內最多10次的API調用，若是一個用戶同一個時間段內太多的請求被接收，將返回響應狀態代碼 429 (這意味着過多的請求)。

1.Yii會自動使用yii\filters\RateLimiter爲yii\rest\Controller配置一個行爲過濾器來執行速率限制檢查。若是速度超出限制，該速率限制器將拋出一個yii\web\TooManyRequestsHttpException。
修改frontend/controllers/BookController.php，加入紅色標記代碼：frontend

namespace frontend\controllers;

use yii\rest\ActiveController;
use yii\web\Response;
use yii\filters\auth\CompositeAuth;
use yii\filters\auth\QueryParamAuth;

use yii\filters\RateLimiter;

class BookController extends ActiveController
{
    public $modelClass = 'frontend\models\Book';

    public function behaviors() {
        $behaviors = parent::behaviors();
        
        $behaviors['rateLimiter'] = [
            'class' => RateLimiter::className(),
            'enableRateLimitHeaders' => true,
        ];
        
        $behaviors['authenticator'] = [
            'class' => CompositeAuth::className(),
            'authMethods' => [
                /*下面是三種驗證access_token方式*/
                //1.HTTP 基本認證: access token 看成用戶名發送，應用在access token可安全存在API使用端的場景，例如，API使用端是運行在一臺服務器上的程序。
                //HttpBasicAuth::className(),
                //2.OAuth 2: 使用者從認證服務器上獲取基於OAuth2協議的access token，而後經過 HTTP Bearer Tokens 發送到API 服務器。
                //HttpBearerAuth::className(),
                //3.請求參數: access token 看成API URL請求參數發送，這種方式應主要用於JSONP請求，由於它不能使用HTTP頭來發送access token
                //http://localhost/user/index/index?access-token=123
                QueryParamAuth::className(),
            ],
        ];
        $behaviors['contentNegotiator']['formats']['text/html'] = Response::FORMAT_JSON;
        return $behaviors;
    }
}

2.在user表中使用兩列來記錄容差和時間戳信息。爲了提升性能，能夠考慮使用緩存或NoSQL存儲這些信息。
修改common/models/User.php，加入紅色標記代碼：

namespace common\models;

use Yii;
use yii\base\NotSupportedException;
use yii\behaviors\TimestampBehavior;
use yii\db\ActiveRecord;
use yii\web\IdentityInterface;

use yii\filters\RateLimitInterface;

class User extends ActiveRecord implements IdentityInterface, RateLimitInterface
{

    ....

    // 返回在單位時間內容許的請求的最大數目，例如，[10, 60] 表示在60秒內最多請求10次。
    public function getRateLimit($request, $action)
    {
        return [5, 10];
    }

    // 返回剩餘的容許的請求數。
    public function loadAllowance($request, $action)
    {
        return [$this->allowance, $this->allowance_updated_at];
    }

    // 保存請求時的UNIX時間戳。
    public function saveAllowance($request, $action, $allowance, $timestamp)
    {
        $this->allowance = $allowance;
        $this->allowance_updated_at = $timestamp;
        $this->save();
    }
    
    ....
    
    public static function findIdentityByAccessToken($token, $type = null)
    {
        //throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.');
        //findIdentityByAccessToken()方法的實現是系統定義的
        //例如，一個簡單的場景，當每一個用戶只有一個access token, 可存儲access token 到user表的access_token列中， 方法可在User類中簡單實現，以下所示：
        return static::findOne(['access_token' => $token]);
    }
    
    ....
}