位置: 编程技术 - 正文

yii2 resetful 授权验证详解

编辑：rootadmin

推荐整理分享yii2 resetful 授权验证详解，希望有所帮助，仅作参考，欢迎阅读内容。

文章相关热门搜索词:,内容如对您有帮助，希望把文章链接给更多的朋友！

什么是restful风格的api呢？我们之前有写过大篇的文章来介绍其概念以及基本操作。

既然写过了，那今天是要说点什么吗？

这篇文章主要针对实际场景中api的部署来写。

我们今天就来大大的侃侃那些年api遇到的授权验证问题！独家干活，如果看完有所受益，记得不要忘记给我点赞哦。

业务分析

我们先来了解一下整个逻辑

1.用户在客户端填写登录表单2.用户提交表单，客户端请求登录接口login3.服务端校验用户的帐号密码，并返回一个有效的token给客户端4.客户端拿到用户的token，将之存储在客户端比如cookie中5.客户端携带token访问需要校验的接口比如获取用户个人信息接口6.服务端校验token的有效性，校验通过，反正返回客户端需要的信息，校验失败，需要用户重新登录

本文我们以用户登录，获取用户的个人信息为例进行详细的完整版说明。

以上，便是我们本篇文章要实现的重点。先别激动，也别紧张，分析好了之后，细节部分我们再一步一个脚印走下去。

准备工作

1.你应该有一个api应用.2.对于客户端，我们准备采用postman进行模拟，如果你的google浏览器还没有安装postman，请先自行下载3.要测试的用户表需要有一个api_token的字段，没有的请先自行添加，并保证该字段足够长度4.api应用开启了路由美化，并先配置post类型的login操作和get类型的signup-test操作5.关闭了user组件的session会话

关于上面准备工作的第4点和第5点，我们贴一下代码方便理解

signup-test操作我们后面添加测试用户，为登录操作提供便利。其他类型的操作后面看需要再做添加。

认证类的选择

我们在apimodulesv1controllersUserController中设定的model类指向 commonmodelsUser类，为了说明重点这里我们就不单独拿出来重写了，看各位需要，有必要的话再单独copy一个User类到apimodels下。

校验用户权限我们以 yiifiltersauthQueryParamAuth 为例

如此一来，那岂不是所有访问user的操作都需要认证了？那不行，客户端第一个访问login操作的时候哪来的token，yiifiltersauthQueryParamAuth对外提供一个属性，用于过滤不需要验证的action。我们将UserController的behaviors方法稍作修改

这样login操作就无需权限验证即可访问了。

添加测试用户

为了避免让客户端登录失败，我们先写一个简单的方法，往user表里面插入两条数据，便于接下来的校验。

UserController增加signupTest操作，注意此方法不属于讲解范围之内，我们仅用于方便测试。

如上，我们添加了一个username是，密码是的用户

登录操作

假设用户在客户端输入用户名和密码进行登录，服务端login操作其实很简单，大部分的业务逻辑处理都在apimodelsloginForm上，来先看看login的实现

登录成功后这里给客户端返回了用户的token，再来看看登录的具体逻辑的实现

新建apimodelsLoginForm.PHP

我们回过头来看一下，当我们在UserController的login操作中调用LoginForm的login操作后都发生了什么

1、调用LoginForm的login方法

2、调用validate方法，随后对rules进行校验

3、rules校验中调用validatePassword方法，对用户名和密码进行校验

4、validatePassword方法校验的过程中调用LoginForm的getUser方法，通过commonmodelsUser类的findByUsername获取用户，找不到或者commonmodelsUser的validatePassword对密码校验失败则返回error

5、触发LoginForm::GENERATE_API_TOKEN事件，调用LoginForm的onGenerateApiToken方法,通过commonmodelsUser的apiTokenIsValid校验token的有效性，如果无效，则调用User的generateApiToken方法重新生成

注意commonmodelsUser类必须是用户的认证类.

下面补充本节增加的commonmodelsUser的相关方法

继续补充apiTokenIsValid方法中涉及到的token有效期，在apiconfigparams.php文件内增加即可

到这里呢，客户端登录服务端返回token给客户端就完成了。

按照文中一开始的分析，客户端应该把获取到的token存到本地，比如cookie中。以后再需要token校验的接口访问中，从本地读取比如从cookie中读取并访问接口即可。

根据token请求用户的认证操作

假设我们已经把获取到的token保存起来了，我们再以访问用户信息的接口为例。

yiifiltersauthQueryParamAuth类认定的token参数是 access-token，我们可以在行为中修改下

这里将默认的access-token修改为token。

我们在配置文件的urlManager组件中增加对userProfile操作

我们用postman模拟请求访问下 /v1/users/user-profile&#;token=apeuT9dAgHqbfrtihfzL6qDe_l4qz_发现，抛出了一个异常

"findIdentityByAccessToken" is not implemented.

这是怎么回事呢？

我们找到 yiifiltersauthQueryParamAuth 的authenticate方法，发现这里调用了 commonmodelsUser类的loginByAccessToken方法，有同学疑惑了，commonmodelsUser类没实现loginByAccessToken方法为啥说findIdentityByAccessToken方法没实现？如果你还记得commonmodelsUser类实现了yiiwebuser类的接口的话，你应该会打开yiiwebUser类找答案。没错，loginByAccessToken方法在yiiwebUser中实现了，该类中调用了commonmodelsUser的findIdentityByAccessToken，但是我们看到，该方法中通过throw抛出了异常，也就是说这个方法要我们自己手动实现！

这好办了，我们就来实现下commonmodelsUser类的findIdentityByAccessToken方法吧

验证完token的有效性，下面就要开始实现主要的业务逻辑部分了。

服务端返回的数据类型定义

在postman中我们可以以何种数据类型输出的接口的数据，但是，有些人发现，当我们把postman模拟请求的地址copy到浏览器地址栏，返回的又却是xml格式了，而且我们明明在UserProfile操作中返回的是属组，怎么回事呢？

这其实是官方捣的鬼啦，我们一层层源码追下去，发现在yiirestController类中，有一个 contentNegotiator行为，该行为指定了允许返回的数据格式formats是json和xml，返回的最终的数据格式根据请求头中Accept包含的首先出现在formats中的为准，你可以在yiifiltersContentNegotiator的negotiateContentType方法中找到答案。

你可以在浏览器的请求头中看到

Accept:

text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

即application/xml首先出现在formats中，所以返回的数据格式是xml类型，如果客户端获取到的数据格式想按照json进行解析，只需要设置请求头的Accept的值等于application/json即可

有同学可能要说，这样太麻烦了，啥年代了，谁还用xml，我就想服务端输出json格式的数据，怎么做？

办法就是用来解决问题滴，来看看怎么做。apiconfigmain.php文件中增加对response的配置

如此，不管你客户端传什么，服务端最终输出的都会是json格式的数据了。

自定义错误处理机制

再来看另外一个比较常见的问题：

你看我们上面几个方法哈，返回的结果是各式各样的，这样就给客户端解析增加了困扰，而且一旦有异常抛出，返回的代码还都是一堆一堆的，头疼，怎么办？

说到这个问题之前呢，我们先说一下yii中先关的异常处理类，当然，有很多哈。比如下面常见的一些，其他的自己去挖掘

实际开发中各位要善于去利用这些类去捕获异常，抛出异常。说远了哈，我们回到重点，来说如何自定义接口异常响应或者叫自定义统一的数据格式，比如向下面这种配置，统一响应客户端的格式标准。