token-basierte Authentifizierung in php

Es kann getan werden, so oder so, und die Werte in eine GET-Anforderung sind nicht wirklich mehr zu erkennen, als Werte in einer POST-Anforderung. Wenn jemand "sehen" können (d.h. abfangen) das ersuchen, er kann alles sehen, die Sie versenden. Am Ende einer HTTP-Anfrage ist nur ein Haufen von HTTP-Headern, möglicherweise gefolgt von einem Körper. Die URL senden in der ersten GET /foo/bar HTTP/1.1 Zeile, andere Werte sind, senden Sie einfach in anderen, folgenden Zeilen.

So ist es bis zu Ihnen, wo Sie erwarten, dass Ihr Authentifizierungs-token zu senden. Sie können verlangen, dass Sie ein query-parameter angehängt wird jede Anfrage:

GET /foo/bar?user=123456&token=abcde...

Wirklich das HTTP-Protokoll verwenden, wie beabsichtigt, obwohl, sollten Sie die Authorization HTTP-header:

Authorization: MyScheme 123456:abcde...

Den Inhalt dieser header ist völlig bis zu Ihnen. Es in der Regel legt ein Autorisierungs-Methode wie Basic, gefolgt von was immer Sie wollen, zu verlangen, die für die Authentifizierung. Diese können Sie einfach den Benutzernamen und das Passwort ein hash-Wert, eine opake token der client erhalten hat, an einem gewissen Punkt oder irgendetwas anderes, wirklich.

Ich würde empfehlen, ein token-system oder ein request-signing-system an, wobei letztere sehr viel lieber. In einer request-signing-system, das Kunden erhalten ein token aus. Es sendet dann einen hash dieser token und bestimmte Merkmale der Anforderung zur Authentifizierung der Anfrage, z.B. sha1(Token + Timestamp + Request URL + Request Body). Ihr server kann überprüfen, ohne den client zum senden der token im Klartext auf jede Anfrage.

Wie mache ich das token nur für eine bestimmte Zeit?

Speichern Sie die token-server-Seite mit einem Ablauf timestamp und überprüfen gegen Sie.

InformationsquelleAutor deceze

Können Sie Feuer-base-php-JWT (JSON Web Token) token-basierte Authentifizierung.

1)Installieren Sie den php-jwt durch ausführen Komponist Befehl Komponist erfordern FB/php-jwt

   require_once('vendor/autoload.php');
   use \Firebase\JWT\JWT; 
   define('SECRET_KEY','Your-Secret-Key')  //secret key can be a random string  and keep in secret from anyone
   define('ALGORITHM','HS512')

Danach Erzeugen Sie Ihren token

$tokenId    = base64_encode(mcrypt_create_iv(32));
                $issuedAt   = time();
                $notBefore  = $issuedAt + 10;  //Adding 10 seconds
                $expire     = $notBefore + 7200; //Adding 60 seconds
                $serverName = 'http://localhost/php-json/'; ///set your domain name 


                /*
                 * Create the token as an array
                 */
                $data = [
                    'iat'  => $issuedAt,         //Issued at: time when the token was generated
                    'jti'  => $tokenId,          //Json Token Id: an unique identifier for the token
                    'iss'  => $serverName,       //Issuer
                    'nbf'  => $notBefore,        //Not before
                    'exp'  => $expire,           //Expire
                    'data' => [                  //Data related to the logged user you can set your required data
                'id'   => "set your current logged user-id", //id from the users table
                 'name' => "logged user name", // name
                              ]
                ];
              $secretKey = base64_decode(SECRET_KEY);
              ///Here we will transform this array into JWT:
              $jwt = JWT::encode(
                        $data, //Data to be encoded in the JWT
                        $secretKey, //The signing key
                         ALGORITHM 
                       ); 
             $unencodedArray = ['jwt' => $jwt];

bieten dieses token, um Ihre Benutzer "$jwt" . Bei jeder Anforderung Benutzer muss zum senden von token-Wert mit jeder Anfrage zu validieren Benutzer.

 try {
           $secretKey = base64_decode(SECRET_KEY); 
           $DecodedDataArray = JWT::decode($_REQUEST['tokVal'], $secretKey, array(ALGORITHM));

           echo  "{'status' : 'success' ,'data':".json_encode($DecodedDataArray)." }";die();

           } catch (Exception $e) {
            echo "{'status' : 'fail' ,'msg':'Unauthorized'}";die();
           }

Sie bekommen Schritt für Schritt die volle Konfigurationen für php-token basierende Authentifizierung

InformationsquelleAutor Zedd Index