位置: 编程技术 - 正文

yii2项目实战之restful api授权验证详解

编辑:rootadmin

推荐整理分享yii2项目实战之restful api授权验证详解,希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:,内容如对您有帮助,希望把文章链接给更多的朋友!

前言

什么是restful风格的api呢?我们之前有写过大篇的文章来介绍其概念以及基本操作。

既然写过了,那今天是要说点什么吗?

这篇文章主要针对实际场景中api的部署来写。

我们今天就来大大的侃侃那些年api遇到的授权验证问题!独家干活,如果看完有所受益,记得不要忘记给我点赞哦。

业务分析

我们先来了解一下整个逻辑

用户在客户端填写登录表单 用户提交表单,客户端请求登录接口login 服务端校验用户的帐号密码,并返回一个有效的token给客户端 客户端拿到用户的token,将之存储在客户端比如cookie中 客户端携带token访问需要校验的接口比如获取用户个人信息接口 服务端校验token的有效性,校验通过,反正返回客户端需要的信息,校验失败,需要用户重新登录

本文我们以用户登录,获取用户的个人信息为例进行详细的完整版说明。以上,便是我们本篇文章要实现的重点。先别激动,也别紧张,分析好了之后,细节部分我们再一步一个脚印走下去。

准备工作

你应该有一个api应用,如果你还没有,请先移步这里→_→Restful api基础 对于客户端,我们准备采用postman进行模拟,如果你的google浏览器还没有安装postman,请先自行下载 要测试的用户表需要有一个api_token的字段,没有的请先自行添加,并保证该字段足够长度 api应用开启了路由美化,并先配置post类型的login操作和get类型的signup-test操作 关闭了user组件的session会话

关于上面准备工作的第4点和第5点,我们贴一下代码方便理解

signup-test操作我们后面添加测试用户,为登录操作提供便利。其他类型的操作后面看需要再做添加。

认证类的选择

我们在apimodulesv1controllersUserController中设定的model类指向 commonmodelsUser类,为了说明重点这里我们就不单独拿出来重写了,看各位需要,有必要的话再单独copy一个User类到apimodels下。

校验用户权限我们以 yiifiltersauthQueryParamAuth 为例

如此一来,那岂不是所有访问user的操作都需要认证了?那不行,客户端第一个访问login操作的时候哪来的token,yiifiltersauthQueryParamAuth对外提供一个属性,用于过滤不需要验证的action。我们将UserController的behaviors方法稍作修改

这样login操作就无需权限验证即可访问了。

添加测试用户

为了避免让客户端登录失败,我们先写一个简单的方法,往user表里面插入两条数据,便于接下来的校验。

UserController增加signupTest操作,注意此方法不属于讲解范围之内,我们仅用于方便测试。

如上,我们添加了一个username是,密码是的用户

登录操作

假设用户在客户端输入用户名和密码进行登录,服务端login操作其实很简单,大部分的业务逻辑处理都在apimodelsloginForm上,来先看看login的实现

use apimodelsLoginForm;

登录成功后这里给客户端返回了用户的token,再来看看登录的具体逻辑的实现

新建apimodelsLoginForm.PHP

我们回过头来看一下,当我们在UserController的login操作中调用LoginForm的login操作后都发生了什么

1、调用LoginForm的login方法

2、调用validate方法,随后对rules进行校验

3、rules校验中调用validatePassword方法,对用户名和密码进行校验

4、validatePassword方法校验的过程中调用LoginForm的getUser方法,通过commonmodelsUser类的findByUsername获取用户,找不到或者commonmodelsUser的validatePassword对密码校验失败则返回error

yii2项目实战之restful api授权验证详解

5、触发LoginForm::GENERATE_API_TOKEN事件,调用LoginForm的onGenerateApiToken方法,通过commonmodelsUser的apiTokenIsValid校验token的有效性,如果无效,则调用User的generateApiToken方法重新生成

注意:commonmodelsUser类必须是用户的认证类,如果不知道如何创建完善该类,请围观这里 用户管理之user组件的配置

下面补充本节增加的commonmodelsUser的相关方法

继续补充apiTokenIsValid方法中涉及到的token有效期,在apiconfigparams.php文件内增加即可

到这里呢,客户端登录 服务端返回token给客户端就完成了。

按照文中一开始的分析,客户端应该把获取到的token存到本地,比如cookie中。以后再需要token校验的接口访问中,从本地读取比如从cookie中读取并访问接口即可。

根据token请求用户的认证操作

假设我们已经把获取到的token保存起来了,我们再以访问用户信息的接口为例。

yiifiltersauthQueryParamAuth类认定的token参数是 access-token,我们可以在行为中修改下

这里将默认的access-token修改为token。

我们在配置文件的urlManager组件中增加对userProfile操作

我们用postman模拟请求访问下 /v1/users/user-profile&#;token=apeuT9dAgHqbfrtihfzL6qDe_l4qz_发现,抛出了一个异常

"findIdentityByAccessToken" is not implemented.

这是怎么回事呢?

我们找到 yiifiltersauthQueryParamAuth 的authenticate方法,发现这里调用了 commonmodelsUser类的loginByAccessToken方法,有同学疑惑了,commonmodelsUser类没实现loginByAccessToken方法为啥说findIdentityByAccessToken方法没实现?如果你还记得commonmodelsUser类实现了yiiwebuser类的接口的话,你应该会打开yiiwebUser类找答案。没错,loginByAccessToken方法在yiiwebUser中实现了,该类中调用了commonmodelsUser的findIdentityByAccessToken,但是我们看到,该方法中通过throw抛出了异常,也就是说这个方法要我们自己手动实现!

这好办了,我们就来实现下commonmodelsUser类的findIdentityByAccessToken方法吧

验证完token的有效性,下面就要开始实现主要的业务逻辑部分了。

服务端返回的数据类型定义

在postman中我们可以以何种数据类型输出的接口的数据,但是,有些人发现,当我们把postman模拟请求的地址copy到浏览器地址栏,返回的又却是xml格式了,而且我们明明在UserProfile操作中返回的是属组,怎么回事呢?

这其实是官方捣的鬼啦,我们一层层源码追下去,发现在yiirestController类中,有一个 contentNegotiator行为,该行为指定了允许返回的数据格式formats是json和xml,返回的最终的数据格式根据请求头中Accept包含的首先出现在formats中的为准,你可以在yiifiltersContentNegotiator的negotiateContentType方法中找到答案。

你可以在浏览器的请求头中看到

Accept:

text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

即application/xml首先出现在formats中,所以返回的数据格式是xml类型,如果客户端获取到的数据格式想按照json进行解析,只需要设置请求头的Accept的值等于application/json即可

有同学可能要说,这样太麻烦了,啥年代了,谁还用xml,我就想服务端输出json格式的数据,怎么做?

办法就是用来解决问题滴,来看看怎么做。apiconfigmain.php文件中增加对response的配置

如此,不管你客户端传什么,服务端最终输出的都会是json格式的数据了。

自定义错误处理机制

再来看另外一个比较常见的问题:

你看我们上面几个方法哈,返回的结果是各式各样的,这样就给客户端解析增加了困扰,而且一旦有异常抛出,返回的代码还都是一堆一堆的,头疼,怎么办?

说到这个问题之前呢,我们先说一下yii中先关的异常处理类,当然,有很多哈。比如下面常见的一些,其他的自己去挖掘

实际开发中各位要善于去利用这些类去捕获异常,抛出异常。说远了哈,我们回到重点,来说如何自定义接口异常响应或者叫自定义统一的数据格式,比如向下面这种配置,统一响应客户端的格式标准。

说道了那么多,本文就要结束了,刚开始接触的同学可能有一些蒙,不要蒙,慢慢消化,先知道这么个意思,了解下restful api接口在整个过程中是怎么用token授权的就好。这样真正实际用到的时候,你也能举一反三!

总结

标签: yii2项目实战之restful api授权验证详解

本文链接地址:https://www.jiuchutong.com/biancheng/290399.html 转载请保留说明!

上一篇:PHP使用xpath解析XML的方法详解(php解析xml数据)

下一篇:利用Laravel事件系统如何实现登录日志的记录详解(laravel实战教程)

  • 申报个税时怎么获取个税专项附加扣除
  • 电子承兑汇票兑现
  • 分公司可以计提安全生产费吗
  • 金税四期对企业的风险
  • 什么公司不可以上市
  • 其他业务收入在借方表示什么
  • 出租的土地使用权是无形资产吗
  • 成品油购进数据未同步怎么办
  • 事业单位退休职业年金发放多少个月
  • 哪些纳税人可以申请存量留抵退税
  • 赠送产品能直接用吗
  • 销售奖金怎么做会计分录
  • 差旅费报销怎么做账
  • 多计提的销售费用冲销
  • 冲借款的凭证怎么做
  • 大额承兑换小额承兑会计分录
  • 建筑公司资源税的征税
  • 营改增之后账务怎么处理
  • 0申报逾期罚款
  • 存款利息天数算头不算尾如何计算
  • 小规模开票后的分录怎么做
  • 进口商品买卖的关键环节
  • 房地产开发企业的土地使用权计入哪里
  • 金蝶标准版利润表季度怎么选
  • 路由器ip分配数量
  • 债务优化是做什么的工作
  • win10开机重启陷入死循环
  • 税控盘技术服务费可以抵税吗
  • 怎么制作网线接口
  • 微软的客户主要是什么
  • windows 10音响没有声音
  • config.cfg是什么文件
  • 企业境外所得税额抵免限额应分国分项计算
  • 一场雷雨还是一阵雷雨
  • 业务招待费超出部分纳税调增分录
  • 阿布鲁佐的特点
  • 详解php实现页面跳转
  • php记录页面停留多久
  • 所得税季报本月数是指
  • cnpm安装成功为什么用不了
  • php怎么设置图片的大小
  • phpcms怎么用
  • php 注入
  • mysql复制表语句
  • mysql安装配置教程csdn
  • 货款必须对公帐户支付吗
  • 资信证明好开吗
  • 企业所得税季度申报表怎么填
  • 第二季度所得税表中研发费用
  • 合并设立是什么意思
  • 估价入库怎么记账
  • 房屋租赁违约金比例
  • 总分包模式和总承包模式
  • 什么是小微企业
  • 公司活动费用分录
  • 投资性房地产的范围
  • mac mysql初始密码
  • mysql5.5.62安装教程图解
  • win7传真和扫描
  • windowsxp的开始菜单
  • centos svn服务器搭建web
  • linux管理工具有哪些
  • 苹果公司joz
  • paytime.exe - paytime是什么进程 有什么用
  • win10系统安全中心在哪
  • 晚上睡觉艾草贴肚脐
  • win10升级win1
  • cocoscreator渲染流程图
  • 安卓作业仿银行
  • shell编程总结
  • js制作网页制作步骤
  • 深入理解linux内核第三版
  • android fragmentactivity
  • python如何获取
  • 安卓手机如何查
  • 北京市税务局 案件
  • 税控盘解除风险
  • 国家税务总局的官网
  • 出口退税的企业货币要回国内吗
  • 我国土地资源总量丰富人均不足
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设