大佬教程收集整理的这篇文章主要介绍了yii2项目实战之restful api授权验证详解,大佬教程大佬觉得挺不错的,现在分享给大家,也给大家做个参考。
什么是restful风格的api呢?我们之前有写过来介绍其概念以及基本操作。
既然写过了,那今天是要说点什么吗?
这篇文章主要针对实际场景中api的部署来写。
我们今天就来大大的侃侃那些年api遇到的授权验证问题!独家干活,如果看完有所受益,记得不要忘记给我点赞哦。
我们先来了解一下整个逻辑
本文我们以用户登录,获取用户的个人信息为例进行详细的完整版说明。 以上,便是我们本篇文章要实现的重点。先别激动,也别紧张,分析好了之后,细节部分我们再一步一个脚印走下去。
关于上面准备工作的第4点和第5点,我们贴一下代码方便理解
signup-test操作我们后面添加测试用户,为登录操作提供便利。其他类型的操作后面看需要再做添加。
我们在api\modules\v1\controllers\UserController
中设定的model类指向 common\models\User
类,为了说明重点这里我们就不单独拿出来重写了,看各位需要,有必要的话再单独copy一个User类到api\models
下。
校验用户权限我们以 yii\filters\auth\QueryParamAuth
为例
public function behaviors()
{
return ArrayHelper::merge (parent::behaviors(),[
'authenticator' => [
'class' => QueryParamAuth::className()
]
] );
}
如此一来,那岂不是所有访问user的操作都需要认证了?那不行,客户端第一个访问login操作的时候哪来的token,yii\filters\auth\QueryParamAuth
对外提供一个属性,用于过滤不需要验证的action。我们将userController的behaviors方法稍作修改
这样login操作就无需权限验证即可访问了。
为了避免让客户端登录失败,我们先写一个简单的方法,往user表里面插入两条数据,便于接下来的校验。
UserController增加signupTest操作,注意此方法不属于讲解范围之内,我们仅用于方便测试。
return [
'code' => 0
];
}
如上,我们添加了一个username是111,密码是123456的用户
假设用户在客户端输入用户名和密码进行登录,服务端login操作其实很简单,大部分的业务逻辑处理都在api\models\loginForm
上,来先看看login的实现
use api\models\LoginForm;
登录成功后这里给客户端返回了用户的token,再来看看登录的具体逻辑的实现
use Yii;
use yii\base\Model;
use common\models\User;
/**
private $_user;
const GET_API_TOKEN = 'generate_api_token';
public function init ()
{
parent::init();
$this->on(self::GET_API_TOKEN,[$this,'onGenerateApiToken']);
}
/**
/**
/**
return $this->_user;
}
/**
我们回过头来看一下,当我们在UserController的login操作中调用LoginForm的login操作后都发生了什么
1、调用LoginForm的login方法
2、调用validate方法,随后对rules进行校验
3、rules校验中调用validatepassword方法,对用户名和密码进行校验
4、validatepassword方法校验的过程中调用LoginForm的getUser方法,通过common\models\User
类的findByUsername获取用户,找不到或者common\models\User
的validatepassword对密码校验失败则返回error
5、触发LoginForm::GENERATE_API_TOKEN事件,调用LoginForm的onGenerateApiToken方法,通过common\models\User
的apiTokenIsValid校验token的有效性,如果无效,则调用User的generateApiToken方法重新生成
注意:common\models\User
类必须是用户的认证类,如果不知道如何创建完善该类,请围观这里 用户管理之user组件的配置
下面补充本节增加的common\models\User
的相关方法
/**
$timestamp = (int) substr($token,strrpos($token,'_') + 1);
$expire = Yii::$app->params['user.apiTokenExpire'];
return $timestamp + $expire >= time();
}
继续补充apiTokenIsValid方法中涉及到的token有效期,在api\config\params.php
文件内增加即可
到这里呢,客户端登录 服务端返回token给客户端就完成了。
按照文中一开始的分析,客户端应该把获取到的token存到本地,比如Cookie中。以后再需要token校验的接口访问中,从本地读取比如从cookie中读取并访问接口即可。
假设我们已经把获取到的token保存起来了,我们再以访问用户信息的接口为例。
yii\filters\auth\QueryParamAuth
类认定的token参数是 access-token,我们可以在行为中修改下
这里将默认的access-token修改为token。
我们在配置文件的urlManager组件中增加对userProfile操作
我们用postman模拟请求访问下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145发现,抛出了一个异常
\"findIdentityByAccessToken\" is not implemented.
这是怎么回事呢?
我们找到 yii\filters\auth\QueryParamAuth 的authenticate
方法,发现这里调用了 common\models\User
类的loginByAccessToken方法,有同学疑惑了,common\models\User
类没实现loginByAccessToken方法为啥说findIdentityByAccessToken方法没实现?如果你还记得common\models\User
类实现了yii\web\user
类的接口的话,你应该会打开yii\web\User
类找答案。没错,loginByAccessToken方法在yii\web\User
中实现了,该类中调用了common\models\User
的findIdentityByAccessToken,但是我们看到,该方法中通过throw抛出了异常,也就是说这个方法要我们自己手动实现!
这好办了,我们就来实现下common\models\User
类的findIdentityByAccessToken
方法吧
return static::findOne(['api_token' => $token,'status' => self::STATUS_ACTIVE]);
// throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.');
}
验证完token的有效性,下面就要开始实现主要的业务逻辑部分了。
在postman中我们可以以何种数据类型输出的接口的数据,但是,有些人发现,当我们把Postman模拟请求的地址copy到浏览器地址栏,返回的又却是xml格式了,而且我们明明在UserProfile操作中返回的是属组,怎么回事呢?
这其实是官方捣的鬼啦,我们一层层源码追下去,发现在yii\rest\Controller
类中,有一个 contentNegotiator行为,该行为指定了允许返回的数据格式formats是json和xml,返回的最终的数据格式根据请求头中Accept包含的首先出现在formats中的为准,你可以在yii\filters\ContentNegotiator
的negotiateContentType
方法中找到答案。
你可以在浏览器的请求头中看到
Accept:
text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
即application/xml首先出现在formats中,所以返回的数据格式是xml类型,如果客户端获取到的数据格式想按照json进行解析,只需要设置请求头的Accept的值等于application/json即可
有同学可能要说,这样太麻烦了,啥年代了,谁还用Xml,我就想服务端输出json格式的数据,怎么做?
办法就是用来解决问题滴,来看看怎么做。api\config\main.php文件中增加对response的配置
如此,不管你客户端传什么,服务端最终输出的都会是json格式的数据了。
再来看另外一个比较常见的问题:
你看我们上面几个方法哈,返回的结果是各式各样的,这样就给客户端解析增加了困扰,而且一旦有异常抛出,返回的代码还都是一堆一堆的,头疼,怎么办?
说到这个问题之前呢,我们先说一下yii中先关的异常处理类,当然,有很多哈。比如下面常见的一些,其他的自己去挖掘
实际开发中各位要善于去利用这些类去捕获异常,抛出异常。说远了哈,我们回到重点,来说如何自定义接口异常响应或者叫自定义统一的数据格式,比如向下面这种配置,统一响应客户端的格式标准。
说道了那么多,本文就要结束了,刚开始接触的同学可能有一些蒙,不要蒙,慢慢消化,先知道这么个意思,了解下restful api接口在整个过程中是怎么用token授权的就好。这样真正实际用到的时候,你也能举一反三!
以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作能带来一定的帮助,如果有疑问大家可以留言交流,谢谢大家对菜鸟教程的支持。
以上是大佬教程为你收集整理的yii2项目实战之restful api授权验证详解全部内容,希望文章能够帮你解决yii2项目实战之restful api授权验证详解所遇到的程序开发问题。
如果觉得大佬教程网站内容还不错,欢迎将大佬教程推荐给程序员好友。
本图文内容来源于网友网络收集整理提供,作为学习参考使用,版权属于原作者。
如您有任何意见或建议可联系处理。小编QQ:384754419,请注明来意。