Как я должен реализовать «аутентификацию на основе токенов» для набора веб-API безопасным способом с использованием PHP и MySQL (без использования OAuth)?

Я разработал несколько веб-API на PHP, используя Slim framework, которые используются мобильными приложениями (iOS и Android) для обработки своих запросов и получения требуемых данных.

В конце концов, в каждом API я отправляю запросы, полученные от мобильного приложения, к соответствующей функции, присутствующей в базе кода моего веб-сайта. Затем соответствующая функция принимает параметры запроса и запроса, обрабатывает запрос и возвращает требуемые данные. Затем API возвращает данные в мобильное приложение в формате JSON. Это текущий рабочий поток.

• Простая система рейтинга / неприятия в php и MySQL
• Отмена прекращения загрузки с ошибкой «Файл пуст»
• Apache Benchmark - параллелизм и количество запросов
• Лучшее место для проверки в модели / представлении / модели контроллера?
• Как связать конкретную часть на той же странице с jquery и php?

Теперь я хочу, чтобы доступность ресурсов веб-сайта (то есть функции из базы кода и данных веб-сайта) подвергалась аутентификации пользователей. Короче говоря, я хочу реализовать схему аутентификации на основе токенов в этом сценарии.

Следующим должен быть поток после того, как я реализую «аутентификацию на основе токенов»:

1. Когда пользователь впервые регистрируется в системе, отправляя имя пользователя и пароль в запросе API входа, один маркер безопасности будет генерироваться при успешной проверке комбинации имени пользователя и пароля для этого конкретного пользователя. Этот токен безопасности также будет храниться в некоторой таблице базы данных MySQL вместе с именем пользователя / паролем / некоторым хешированным значением, чтобы идентифицировать пользователя в дальнейшей обработке. Если проверка не удалась, токен безопасности не должен генерировать, и пользователь также не должен входить в систему.

2. При успешном входе в систему, сгенерированный токен безопасности будет отправлен обратно пользователю в ответ на успех API входа. Теперь, пока пользователь не войдет в систему с каждым последующим запросом, этот токен будет отправлен соответствующему API, и в конечном итоге он будет отправлен на функцию аутентификации для проверки подлинности.

3. Если с любым запросом отправлен недействительный токен, сообщение «Пожалуйста, сначала войдите» должно быть отправлено в ответ, и ресурс веб-сайта не должен получать доступ.

4. После того как пользователь выйдет из системы, этот маркер безопасности должен быть удален из базы данных или любые соответствующие действия должны быть приняты на нем.

Поскольку я впервые работаю над «Аутентификацией на основе токенов», я могу ошибаться в своем подходе. Если я ошибаюсь, исправьте мою ошибку.

Я нашел следующие ссылки, но те, которые я не нашел много полезными, поскольку они не имеют примера рабочего кода с пошаговым описанием:

PHP HMAC Restful API, который использует инфраструктуру Phalcon Micro

Пакет PEAR для JWT

Если бы вы могли предоставить мне весь код, который состоит из создания таблицы базы данных, подключения между PHP и MySQL, а затем создания маркера безопасности, проверки правильности токена безопасности для текущего пользователя и т. Д., Это было бы действительно здорово для меня.

Кроме того, если вы могли бы привести пример рабочего кода для любого из двух (или обоих) вариантов в качестве ответа на этот вопрос, который также был бы очень велик. Если у вас есть другой вариант, кроме двух, я представил полный пример рабочего кода, пожалуйста, ответьте на него.

NB: – Пожалуйста, не предлагайте мне использовать процедуру аутентификации OAuth.

Ниже приведен код, который я пробовал самостоятельно, но я не знаю, правильно это или нет. Является ли мой подход правильным или неправильным?

Чтобы создать токен, я использую эту функцию, которая принимает в качестве параметров, данные пользователя

define('SECRET_KEY', "fakesecretkey"); function createToken($data) { /* Create a part of token using secretKey and other stuff */ $tokenGeneric = SECRET_KEY.$_SERVER["SERVER_NAME"]; // It can be 'stronger' of course /* Encoding token */ $token = hash('sha256', $tokenGeneric.$data); return array('token' => $token, 'userData' => $data); } 

Таким образом, пользователь может аутентифицировать себя и получить массив, содержащий токен (genericPart + его данные, закодированный) и его не закодированные данные:

 function auth($login, $password) { // we check user. For instance, it's ok, and we get his ID and his role. $userID = 1; $userRole = "admin"; // Concatenating data with TIME $data = time()."_".$userID."-".$userRole; $token = createToken($data); echo json_encode($token); } 

Затем пользователь может отправить мне свой токен + его некодированные данные, чтобы проверить:

 define('VALIDITY_TIME', 3600); function checkToken($receivedToken, $receivedData) { /* Recreate the generic part of token using secretKey and other stuff */ $tokenGeneric = SECRET_KEY.$_SERVER["SERVER_NAME"]; // We create a token which should match $token = hash('sha256', $tokenGeneric.$receivedData); // We check if token is ok ! if ($receivedToken != $token) { echo 'wrong Token !'; return false; } list($tokenDate, $userData) = explode("_", $receivedData); // here we compare tokenDate with current time using VALIDITY_TIME to check if the token is expired // if token expired we return false // otherwise it's ok and we return a new token return createToken(time()."#".$userData); } $check = checkToken($_GET['token'], $_GET['data']); if ($check !== false) echo json_encode(array("secureData" => "Oo")); // And we add the new token for the next request 

Я прав?

  Request: GET /v1/products/coffee Private key: ww9k6fcysu30sbuzu7ez57z2kzvefyxwosrjcnwo 

 hash_hmac("sha1", "GET /v1/products/coffee", "ww9k6fcysu30sbuzu7ez57z2kzvefyxwosrjcnwo"); 

 hash_hmac("sha1", $_SERVER['REQUEST_METHOD'] . " " . $_SERVER['REDIRECT_URL'], $user_private_key); 

 $bodyhash = md5(implode(",", $_POST)); 

 +--------+ +---------------+ | |--(A)- Authorization Request ->| Resource | | | | Owner | | |<-(B)-- Authorization Grant ---| | | | +---------------+ | | | | +---------------+ | |--(C)-- Authorization Grant -->| Authorization | | Client | | Server | | |<-(D)----- Access Token -------| (Slim API) | | | +---------------+ | | | | +---------------+ | |--(E)----- Access Token ------>| Resource | | | | Server | | |<-(F)--- Protected Resource ---| | +--------+ +---------------+