前言

什么是restful風(fēng)格的api呢？我們之前有寫(xiě)過(guò)大篇的文章來(lái)介紹其概念以及基本操作。

既然寫(xiě)過(guò)了，那今天是要說(shuō)點(diǎn)什么嗎？

這篇文章主要針對(duì)實(shí)際場(chǎng)景中api的部署來(lái)寫(xiě)。

我們今天就來(lái)大大的侃侃那些年api遇到的授權(quán)驗(yàn)證問(wèn)題！獨(dú)家干活，如果看完有所受益，記得不要忘記給我點(diǎn)贊哦。

業(yè)務(wù)分析

我們先來(lái)了解一下整個(gè)邏輯

• 用戶(hù)在客戶(hù)端填寫(xiě)登錄表單
• 用戶(hù)提交表單，客戶(hù)端請(qǐng)求登錄接口login
• 服務(wù)端校驗(yàn)用戶(hù)的帳號(hào)密碼，并返回一個(gè)有效的token給客戶(hù)端
• 客戶(hù)端拿到用戶(hù)的token，將之存儲(chǔ)在客戶(hù)端比如cookie中
• 客戶(hù)端攜帶token訪(fǎng)問(wèn)需要校驗(yàn)的接口比如獲取用戶(hù)個(gè)人信息接口
• 服務(wù)端校驗(yàn)token的有效性，校驗(yàn)通過(guò)，反正返回客戶(hù)端需要的信息，校驗(yàn)失敗，需要用戶(hù)重新登錄
  

本文我們以用戶(hù)登錄，獲取用戶(hù)的個(gè)人信息為例進(jìn)行詳細(xì)的完整版說(shuō)明。
以上，便是我們本篇文章要實(shí)現(xiàn)的重點(diǎn)。先別激動(dòng)，也別緊張，分析好了之后，細(xì)節(jié)部分我們?cè)僖徊揭粋€(gè)腳印走下去。

準(zhǔn)備工作

• 你應(yīng)該有一個(gè)api應(yīng)用，如果你還沒(méi)有，請(qǐng)先移步這里→_→Restful api基礎(chǔ)
• 對(duì)于客戶(hù)端，我們準(zhǔn)備采用postman進(jìn)行模擬，如果你的google瀏覽器還沒(méi)有安裝postman，請(qǐng)先自行下載
• 要測(cè)試的用戶(hù)表需要有一個(gè)api_token的字段，沒(méi)有的請(qǐng)先自行添加，并保證該字段足夠長(zhǎng)度
• api應(yīng)用開(kāi)啟了路由美化，并先配置post類(lèi)型的login操作和get類(lèi)型的signup-test操作
• 關(guān)閉了user組件的session會(huì)話(huà)
  

關(guān)于上面準(zhǔn)備工作的第4點(diǎn)和第5點(diǎn)，我們貼一下代碼方便理解

'components' => [
 'user' => [ 
 'identityClass' => 'common\models\User',
 'enableAutoLogin' => true,
 'enableSession' => false,
 ],
 'urlManager' => [
 'enablePrettyUrl' => true,
 'showScriptName' => false,
 'enableStrictParsing' => true,
 'rules' => [
  [
  'class' => 'yii\rest\UrlRule',
  'controller' => ['v1/user'],
  'extraPatterns' => [
   'POST login' => 'login',
   'GET signup-test' => 'signup-test',
  ]
  ],
 ]
 ],
 // ......
],

signup-test操作我們后面添加測(cè)試用戶(hù)，為登錄操作提供便利。其他類(lèi)型的操作后面看需要再做添加。

認(rèn)證類(lèi)的選擇

我們?cè)?code>api\modules\v1\controllers\UserController中設(shè)定的model類(lèi)指向 common\models\User類(lèi)，為了說(shuō)明重點(diǎn)這里我們就不單獨(dú)拿出來(lái)重寫(xiě)了，看各位需要，有必要的話(huà)再單獨(dú)copy一個(gè)User類(lèi)到api\models下。

校驗(yàn)用戶(hù)權(quán)限我們以 yii\filters\auth\QueryParamAuth 為例

use yii\filters\auth\QueryParamAuth;

public function behaviors() 
{
 return ArrayHelper::merge (parent::behaviors(), [ 
  'authenticator' => [ 
  'class' => QueryParamAuth::className() 
  ] 
 ] );
}

如此一來(lái)，那豈不是所有訪(fǎng)問(wèn)user的操作都需要認(rèn)證了？那不行，客戶(hù)端第一個(gè)訪(fǎng)問(wèn)login操作的時(shí)候哪來(lái)的token，yii\filters\auth\QueryParamAuth對(duì)外提供一個(gè)屬性，用于過(guò)濾不需要驗(yàn)證的action。我們將UserController的behaviors方法稍作修改

public function behaviors() 
{
 return ArrayHelper::merge (parent::behaviors(), [ 
  'authenticator' => [ 
  'class' => QueryParamAuth::className(),
  'optional' => [
   'login',
   'signup-test'
  ],
  ] 
 ] );
}

這樣login操作就無(wú)需權(quán)限驗(yàn)證即可訪(fǎng)問(wèn)了。

添加測(cè)試用戶(hù)

為了避免讓客戶(hù)端登錄失敗，我們先寫(xiě)一個(gè)簡(jiǎn)單的方法，往user表里面插入兩條數(shù)據(jù)，便于接下來(lái)的校驗(yàn)。

UserController增加signupTest操作，注意此方法不屬于講解范圍之內(nèi)，我們僅用于方便測(cè)試。

use common\models\User;
/**
 * 添加測(cè)試用戶(hù)
 */
public function actionSignupTest ()
{
 $user = new User();
 $user->generateAuthKey();
 $user->setPassword('123456');
 $user->username = '111';
 $user->email = '111@111.com';
 $user->save(false);

 return [
 'code' => 0
 ];
}

如上，我們添加了一個(gè)username是111，密碼是123456的用戶(hù)

登錄操作

假設(shè)用戶(hù)在客戶(hù)端輸入用戶(hù)名和密碼進(jìn)行登錄，服務(wù)端login操作其實(shí)很簡(jiǎn)單，大部分的業(yè)務(wù)邏輯處理都在api\models\loginForm上，來(lái)先看看login的實(shí)現(xiàn)

use api\models\LoginForm;

/**
 * 登錄
 */
public function actionLogin ()
{
 $model = new LoginForm;
 $model->setAttributes(Yii::$app->request->post());
 if ($user = $model->login()) {
 if ($user instanceof IdentityInterface) {
  return $user->api_token;
 } else {
  return $user->errors;
 }
 } else {
 return $model->errors;
 }
}

登錄成功后這里給客戶(hù)端返回了用戶(hù)的token，再來(lái)看看登錄的具體邏輯的實(shí)現(xiàn)

新建api\models\LoginForm.PHP

<?php
namespace api\models;

use Yii;
use yii\base\Model;
use common\models\User;

/**
 * Login form
 */
class LoginForm extends Model
{
 public $username;
 public $password;

 private $_user;

 const GET_API_TOKEN = 'generate_api_token';

 public function init ()
 {
 parent::init();
 $this->on(self::GET_API_TOKEN, [$this, 'onGenerateApiToken']);
 }


 /**
 * @inheritdoc
 * 對(duì)客戶(hù)端表單數(shù)據(jù)進(jìn)行驗(yàn)證的rule
 */
 public function rules()
 {
 return [
  [['username', 'password'], 'required'],
  ['password', 'validatePassword'],
 ];
 }

 /**
 * 自定義的密碼認(rèn)證方法
 */
 public function validatePassword($attribute, $params)
 {
 if (!$this->hasErrors()) {
  $this->_user = $this->getUser();
  if (!$this->_user || !$this->_user->validatePassword($this->password)) {
  $this->addError($attribute, '用戶(hù)名或密碼錯(cuò)誤.');
  }
 }
 }
 /**
 * @inheritdoc
 */
 public function attributeLabels()
 {
 return [
  'username' => '用戶(hù)名',
  'password' => '密碼',
 ];
 }
 /**
 * Logs in a user using the provided username and password.
 *
 * @return boolean whether the user is logged in successfully
 */
 public function login()
 {
 if ($this->validate()) {
  $this->trigger(self::GET_API_TOKEN);
  return $this->_user;
 } else {
  return null;
 }
 }

 /**
 * 根據(jù)用戶(hù)名獲取用戶(hù)的認(rèn)證信息
 *
 * @return User|null
 */
 protected function getUser()
 {
 if ($this->_user === null) {
  $this->_user = User::findByUsername($this->username);
 }

 return $this->_user;
 }

 /**
 * 登錄校驗(yàn)成功后，為用戶(hù)生成新的token
 * 如果token失效，則重新生成token
 */
 public function onGenerateApiToken ()
 {
 if (!User::apiTokenIsValid($this->_user->api_token)) {
  $this->_user->generateApiToken();
  $this->_user->save(false);
 }
 }
}

我們回過(guò)頭來(lái)看一下，當(dāng)我們?cè)赨serController的login操作中調(diào)用LoginForm的login操作后都發(fā)生了什么

      1、調(diào)用LoginForm的login方法

      2、調(diào)用validate方法，隨后對(duì)rules進(jìn)行校驗(yàn)

      3、rules校驗(yàn)中調(diào)用validatePassword方法，對(duì)用戶(hù)名和密碼進(jìn)行校驗(yàn)

      4、validatePassword方法校驗(yàn)的過(guò)程中調(diào)用LoginForm的getUser方法，通過(guò)common\models\User類(lèi)的findByUsername獲取用戶(hù)，找不到或者common\models\User的validatePassword對(duì)密碼校驗(yàn)失敗則返回error

      5、觸發(fā)LoginForm::GENERATE_API_TOKEN事件，調(diào)用LoginForm的onGenerateApiToken方法,通過(guò)common\models\User的apiTokenIsValid校驗(yàn)token的有效性，如果無(wú)效，則調(diào)用User的generateApiToken方法重新生成

注意：common\models\User類(lèi)必須是用戶(hù)的認(rèn)證類(lèi)，如果不知道如何創(chuàng)建完善該類(lèi)，請(qǐng)圍觀這里 用戶(hù)管理之user組件的配置

下面補(bǔ)充本節(jié)增加的common\models\User的相關(guān)方法

/**
 * 生成 api_token
 */
public function generateApiToken()
{
 $this->api_token = Yii::$app->security->generateRandomString() . '_' . time();
}

/**
 * 校驗(yàn)api_token是否有效
 */
public static function apiTokenIsValid($token)
{
 if (empty($token)) {
 return false;
 }

 $timestamp = (int) substr($token, strrpos($token, '_') + 1);
 $expire = Yii::$app->params['user.apiTokenExpire'];
 return $timestamp + $expire >= time();
}

繼續(xù)補(bǔ)充apiTokenIsValid方法中涉及到的token有效期，在api\config\params.php文件內(nèi)增加即可

<?php
return [
 // ...
 // token 有效期默認(rèn)1天
 'user.apiTokenExpire' => 1*24*3600,
];

到這里呢，客戶(hù)端登錄 服務(wù)端返回token給客戶(hù)端就完成了。

按照文中一開(kāi)始的分析，客戶(hù)端應(yīng)該把獲取到的token存到本地，比如cookie中。以后再需要token校驗(yàn)的接口訪(fǎng)問(wèn)中，從本地讀取比如從cookie中讀取并訪(fǎng)問(wèn)接口即可。

根據(jù)token請(qǐng)求用戶(hù)的認(rèn)證操作

假設(shè)我們已經(jīng)把獲取到的token保存起來(lái)了，我們?cè)僖栽L(fǎng)問(wèn)用戶(hù)信息的接口為例。

yii\filters\auth\QueryParamAuth類(lèi)認(rèn)定的token參數(shù)是 access-token，我們可以在行為中修改下

public function behaviors() 
{
 return ArrayHelper::merge (parent::behaviors(), [ 
   'authenticator' => [ 
    'class' => QueryParamAuth::className(),
    'tokenParam' => 'token',
    'optional' => [
     'login',
     'signup-test'
    ],
   ] 
 ] );
}

這里將默認(rèn)的access-token修改為token。

我們?cè)谂渲梦募膗rlManager組件中增加對(duì)userProfile操作

'extraPatterns' => [
 'POST login' => 'login',
 'GET signup-test' => 'signup-test',
 'GET user-profile' => 'user-profile',
]

我們用postman模擬請(qǐng)求訪(fǎng)問(wèn)下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145發(fā)現(xiàn)，拋出了一個(gè)異常

\"findIdentityByAccessToken\" is not implemented.


這是怎么回事呢？

我們找到 yii\filters\auth\QueryParamAuth 的authenticate方法，發(fā)現(xiàn)這里調(diào)用了 common\models\User類(lèi)的loginByAccessToken方法，有同學(xué)疑惑了，common\models\User類(lèi)沒(méi)實(shí)現(xiàn)loginByAccessToken方法為啥說(shuō)findIdentityByAccessToken方法沒(méi)實(shí)現(xiàn)？如果你還記得common\models\User類(lèi)實(shí)現(xiàn)了yii\web\user類(lèi)的接口的話(huà)，你應(yīng)該會(huì)打開(kāi)yii\web\User類(lèi)找答案。沒(méi)錯(cuò)，loginByAccessToken方法在yii\web\User中實(shí)現(xiàn)了，該類(lèi)中調(diào)用了common\models\User的findIdentityByAccessToken，但是我們看到，該方法中通過(guò)throw拋出了異常，也就是說(shuō)這個(gè)方法要我們自己手動(dòng)實(shí)現(xiàn)！

這好辦了，我們就來(lái)實(shí)現(xiàn)下common\models\User類(lèi)的findIdentityByAccessToken方法吧

public static function findIdentityByAccessToken($token, $type = null)
{
 // 如果token無(wú)效的話(huà)，
 if(!static::apiTokenIsValid($token)) {
  throw new \yii\web\UnauthorizedHttpException("token is invalid.");
 }

 return static::findOne(['api_token' => $token, 'status' => self::STATUS_ACTIVE]);
 // throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.');
}

驗(yàn)證完token的有效性，下面就要開(kāi)始實(shí)現(xiàn)主要的業(yè)務(wù)邏輯部分了。

/**
 * 獲取用戶(hù)信息
 */
public function actionUserProfile ($token)
{
 // 到這一步，token都認(rèn)為是有效的了
 // 下面只需要實(shí)現(xiàn)業(yè)務(wù)邏輯即可，下面僅僅作為案例，比如你可能需要關(guān)聯(lián)其他表獲取用戶(hù)信息等等
 $user = User::findIdentityByAccessToken($token);
 return [
  'id' => $user->id,
  'username' => $user->username,
  'email' => $user->email,
 ];
}

服務(wù)端返回的數(shù)據(jù)類(lèi)型定義

在postman中我們可以以何種數(shù)據(jù)類(lèi)型輸出的接口的數(shù)據(jù)，但是，有些人發(fā)現(xiàn)，當(dāng)我們把postman模擬請(qǐng)求的地址copy到瀏覽器地址欄，返回的又卻是xml格式了，而且我們明明在UserProfile操作中返回的是屬組，怎么回事呢？

這其實(shí)是官方搗的鬼啦，我們一層層源碼追下去，發(fā)現(xiàn)在yii\rest\Controller類(lèi)中，有一個(gè) contentNegotiator行為，該行為指定了允許返回的數(shù)據(jù)格式formats是json和xml，返回的最終的數(shù)據(jù)格式根據(jù)請(qǐng)求頭中Accept包含的首先出現(xiàn)在formats中的為準(zhǔn)，你可以在yii\filters\ContentNegotiator的negotiateContentType方法中找到答案。

你可以在瀏覽器的請(qǐng)求頭中看到

Accept:

text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

即application/xml首先出現(xiàn)在formats中，所以返回的數(shù)據(jù)格式是xml類(lèi)型，如果客戶(hù)端獲取到的數(shù)據(jù)格式想按照json進(jìn)行解析，只需要設(shè)置請(qǐng)求頭的Accept的值等于application/json即可

有同學(xué)可能要說(shuō)，這樣太麻煩了，啥年代了，誰(shuí)還用xml，我就想服務(wù)端輸出json格式的數(shù)據(jù)，怎么做？

辦法就是用來(lái)解決問(wèn)題滴，來(lái)看看怎么做。api\config\main.php文件中增加對(duì)response的配置

'response' => [
 'class' => 'yii\web\Response',
 'on beforeSend' => function ($event) {
  $response = $event->sender;
  $response->format = yii\web\Response::FORMAT_JSON;
 },
],

如此，不管你客戶(hù)端傳什么，服務(wù)端最終輸出的都會(huì)是json格式的數(shù)據(jù)了。

自定義錯(cuò)誤處理機(jī)制

再來(lái)看另外一個(gè)比較常見(jiàn)的問(wèn)題：

你看我們上面幾個(gè)方法哈，返回的結(jié)果是各式各樣的，這樣就給客戶(hù)端解析增加了困擾，而且一旦有異常拋出，返回的代碼還都是一堆一堆的，頭疼，怎么辦？

說(shuō)到這個(gè)問(wèn)題之前呢，我們先說(shuō)一下yii中先關(guān)的異常處理類(lèi)，當(dāng)然，有很多哈。比如下面常見(jiàn)的一些，其他的自己去挖掘

yii\web\BadRequestHttpException
yii\web\ForbiddenHttpException
yii\web\NotFoundHttpException
yii\web\ServerErrorHttpException
yii\web\UnauthorizedHttpException
yii\web\TooManyRequestsHttpException

實(shí)際開(kāi)發(fā)中各位要善于去利用這些類(lèi)去捕獲異常，拋出異常。說(shuō)遠(yuǎn)了哈，我們回到重點(diǎn)，來(lái)說(shuō)如何自定義接口異常響應(yīng)或者叫自定義統(tǒng)一的數(shù)據(jù)格式，比如向下面這種配置，統(tǒng)一響應(yīng)客戶(hù)端的格式標(biāo)準(zhǔn)。

'response' => [
 'class' => 'yii\web\Response',
 'on beforeSend' => function ($event) {
  $response = $event->sender;
  $response->data = [
   'code' => $response->getStatusCode(),
   'data' => $response->data,
   'message' => $response->statusText
  ];
  $response->format = yii\web\Response::FORMAT_JSON;
 },
],

說(shuō)道了那么多，本文就要結(jié)束了，剛開(kāi)始接觸的同學(xué)可能有一些蒙，不要蒙，慢慢消化，先知道這么個(gè)意思，了解下restful api接口在整個(gè)過(guò)程中是怎么用token授權(quán)的就好。這樣真正實(shí)際用到的時(shí)候，你也能舉一反三！

總結(jié)

以上就是這篇文章的全部?jī)?nèi)容了，希望本文的內(nèi)容對(duì)大家的學(xué)習(xí)或者工作能帶來(lái)一定的幫助，如果有疑問(wèn)大家可以留言交流，謝謝大家對(duì)腳本之家的支持。

最新評(píng)論