服務器端數據合法性驗證：簽名sign和口令token原理

時間 2020-07-23

標籤服務器數據合法性驗證簽名 sign 口令 token 原理简体版

原文原文鏈接

有時候，你也許會想：

我寫的接口，那別人要是知道url，而且知道其須要的數據結構和邏輯，那不是均可以訪問了？html

甚至是，客戶點傳遞過來的數據，是否是被惡意修改了？mysql

這時，咱們可能須要「驗證」一下。好比：登陸驗證，只有登陸之後才能來到後臺。sql

這裏給出幾種【驗證】方式，大神勿噴：api

1：sign驗證法：服務器

這種驗證方式，通常過程是：微信

第一：給你一個【私鑰】[app_secret] 和[app_id]session

第二：你要提交的全部數據都須要提供sign簽名。數據結構

第三：sign簽名的獲取方式。app

例如：給用戶id爲99的人增長100積分：curl

$app_id = 'Te001';
$secret = 'e10adc3949ba59abbe56e057f20f883e';

$url = 'http://127.0.0.1/test/apiDataCheck';
$post = array(
'user_id' => 99,
'point' => 100
);

function addSign($url, $data){
$str = '';
$data['app_id'] = $app_id;
ksort($data);
foreach($data as $k => $v){
$str .= $k.'='.$v.'&';
}
$str = substr($str, 0, -1);
$str = $url.'?'.$str.$secret;
$data['sign'] = md5($str);
return $data;
}

curl_post($url, addSign($url,$post));

addSign 就是一個sign的獲取方式：全部數據加上app_id，字段順序排序，以get參數方式鏈接。而後url+?+get參數+私鑰，進行md5加密獲取sign簽名。進而進行接口調用。

第四：服務器端驗證數據合法性。

$url = 'http://127.0.0.1/test/apiDataCheck'; $app_secret = 'select app_secret from app_id_secret where app_id='.intval($_POST['app_id']); function checkSign($url, $post){ $str = ''; $sign = $post['sign']; unset($post['sign']); foreach($post as $k => $v){ $str .= $k.'='.$v.'&'; } $str = substring($str, 0, -1); $str = $url.'?'.$str.$app_secret; return $sign == md5($str); } if($app_secret && checkSign($url, $_POST)){ $res = 'update user_point set point=point+100 where user_id='.$_POST['user_id']; }

接口在操做數據以前，首先按照本來既定的sign生成方式，驗證sign合法性，進而進行下一步操做。

不少第三方的接口都存在這樣的一個簽名驗證，如：美團外賣和微信等。但其原理大同小異。

2：token法：

token法的步驟大概是：

1：給你一個app_id和app_secret。

2：提供一個利用app_id和app_secret獲取token的接口。

3：token的時效性設定。

4：獲取token接口的使用次數限制。

1：客戶端獲取token $app_id = 'Token001'; $app_secret = 'e10adc3949ba59abbe56e057f20f883e'; $url = 'http://127.0.0.1/token/getToken?app_id='.$app_ip.'&app_secret='.$app_secret; $token = curl_get($url); // $token = array( // 'token' => 'e10adc3949ba59abbe56e057f20f883e', // 'expire' => '1444444400' // );
 session('token', $token['token']); session('expire', $token['expire']);

2：服務器生成token並返回 define('EXPIRE', 3600); $post = array( $app_id = 'Token001'; $app_secret = 'e10adc3949ba59abbe56e057f20f883e'; ); $tcount = 'select count(*) from app_token where app_id='.$post['app_id']; if($tcount >= 50){ // app_id 獲取token次數太多 }else{ $token['token'] = md5($post['app_id'].time().$post['app_secret'].EXPIRE); $token['expire'] = time()+EXPIRE; $insert = 'insert into app_token value(null, '.$post['app_id'].', '.$token['token'].');'; }

5：服務器驗證token：

1：接口調用 
$url = 'http://127.0.0.1/token/getUserInfo';
$post['user_id'] = 1; 
if(time() < session('expire')){ 
　　$post['user_id'] = 1; 
　　$post['token'] = session('token');
　　$post['app_id'] = 'Token001';
 }else{ 
　　步驟1：
 } 
$userInfo = curl_post($post);


2：接口驗證token $post = array( $user_id = 1; $token = 'e10adc3949ba59abbe56e057f20f883e';
　　 $app_id = 'Token001'; ); $token = 'select token from app_token where app_id='.$post['app_id'].' order by id desc limit 1'; if($token == $post['token']){ return 'select * from user where user_id='.$post['user_id']; }else{ // token 錯誤
}