上一节里我们讲了如何用Yii2搭建一个能够给App提供数据的API后台应用程序。那么今天我们就来探讨下授权认证和通过API接口向服务器提交数据以及如何控制API接口返回那些数据,不能返回那些数据。

授权认证

业务分析

我们先来了解一下整个逻辑

  1. 用户在客户端填写登录表单
  2. 用户提交表单,客户端请求登录接口login
  3. 服务端校验用户的帐号密码,并返回一个有效的token给客户端
  4. 客户端拿到用户的token,将之存储在客户端比如cookie中
  5. 客户端携带token访问需要校验的接口比如获取用户个人信息接口
  6. 服务端校验token的有效性,校验通过,反正返回客户端需要的信息,校验失败,需要用户重新登录

本文我们以用户登录,获取用户的个人信息为例进行详细的完整版说明。

以上,便是我们本篇文章要实现的重点。先别激动,也别紧张,分析好了之后,细节部分我们再一步一个脚印走下去。

准备工作

  1. 对于客户端,我们准备采用postman进行模拟,如果你的google浏览器还没有安装postman,请先自行下载
  2. 要测试的用户表需要有一个api_token的字段,没有的请先自行添加,并保证该字段足够长度
  3. api应用开启了路由美化,并先配置post类型的login操作和get类型的signup-test操作
  4. 关闭了user组件的session会话

关于上面准备工作的第4点和第5点,我们贴一下代码方便理解

  1.  
  1. 'components' => [
  2. 'user' => [
  3. 'identityClass' => 'api\models\User',
  4. 'enableAutoLogin' => true,
  5. 'enableSession' => false,
  6. ],
  7. 'urlManager' => [
  8. 'enablePrettyUrl' => true,
  9. 'showScriptName' => false,
  10. 'enableStrictParsing' => true,
  11. 'rules' => [
  12. [
  13. 'class' => 'yii\rest\UrlRule',
  14. 'controller' => ['v1/user'],
  15. 'extraPatterns' => [
  16. 'POST login' => 'login',
  17. 'POST signup' => 'signup',
    //'GET signup-test' => 'signup-test',
  18. ]
  19. ],
  20. ]
  21. ],
  22. // ......
  23. ],
  1.  
  1.  

signup操作我们后面添加测试用户,为登录操作提供便利。 另外需要指出的是POST对应signup,不能对应signup-test,否则404错误。GET可以对应signup-test。我们这里采用的是POST方法。

认证类的选择

我们在api\modules\v1\controllers\UserController中设定的model类指向 api\models\User类 。

校验用户权限我们以 yii\filters\auth\QueryParamAuth 为例

  1.  
  1. use yii\filters\auth\QueryParamAuth;
  2.  
  3. public function behaviors()
  4. {
  5. return ArrayHelper::merge (parent::behaviors(), [
  6. 'authenticator' => [
  7. 'class' => QueryParamAuth::className()
  8. ]
  9. ] );
  10. }

如此一来,那岂不是所有访问user的操作都需要认证了?那不行,客户端第一个访问login操作的时候哪来的token,yii\filters\auth\QueryParamAuth对外提供一个属性,用于过滤不需要验证的action。我们将UserController的behaviors方法稍作修改

  1.  
  1. public function behaviors()
  2. {
  3. return ArrayHelper::merge (parent::behaviors(), [
  4. 'authenticator' => [
  5. 'class' => QueryParamAuth::className(),
  6. 'optional' => [
  7. 'login',
  8. 'signup'
    //'signup-test'
  9. ],
  10. ]
  11. ] );
  12. }
  1.  
  1.  

这样login操作就无需权限验证即可访问了。

添加测试用户

为了避免让客户端登录失败,我们先写一个简单的方法,往user表里面插入两条数据,便于接下来的校验。

我们在UserController增加signup操作,注意此方法不属于讲解范围之内,我们仅用于方便测试。

  1.  
  1. use api\models\User;
  2. /**
  3. * 添加测试用户
  4. */
  5. public function actionSignup ()
  6. {
  7. $user = new User();
  8. $user->username = 'admin';
    $user->setPassword('123456');
    $user->generateAuthKey();
    $user->save(false);
    return [ 'code' => ];
    }
  1.  
  1. 如上,我们添加了一个usernameadmin,密码是123456的用户

登录操作

假设用户在客户端输入用户名和密码进行登录,服务端login操作其实很简单,大部分的业务逻辑处理都在api\models\loginForm上,来先看看login的实现

  1.  
  1. use api\models\LoginForm;
  2.  
  3. /**
  4. * 登录
  5. */
  6. public function actionLogin ()
  7. {
  8. $model = new LoginForm;
  9. $model->setAttributes(Yii::$app->request->post());
  10. if ($user = $model->login()) {
  11. if ($user instanceof IdentityInterface) {
  12. return $user->api_token;
  13. } else {
  14. return $user->errors;
  15. }
  16. } else {
  17. return $model->errors;
  18. }
  19. }
  1.  

登录成功后这里给客户端返回了用户的token,再来看看登录的具体逻辑的实现:

新建api\models\LoginForm.php

  1. <?php
  2. namespace api\models;
  3.  
  4. use Yii;
  5. use yii\base\Model;
  6. use api\models\User;
  7.  
  8. /**
  9. * Login form
  10. */
  11. class LoginForm extends Model
  12. {
  13. public $username;
  14. public $password;
  15.  
  16. private $_user;
  17.  
  18. const GET_API_TOKEN = 'generate_api_token';
  19.  
  20. public function init ()
  21. {
  22. parent::init();
  23. $this->on(self::GET_API_TOKEN, [$this, 'onGenerateApiToken']);
  24. }
  25.  
  26. /**
  27. * @inheritdoc
  28. * 对客户端表单数据进行验证的rule
  29. */
  30. public function rules()
  31. {
  32. return [
  33. [['username', 'password'], 'required'],
  34. ['password', 'validatePassword'],
  35. ];
  36. }
  37.  
  38. /**
  39. * 自定义的密码认证方法
  40. */
  41. public function validatePassword($attribute, $params)
  42. {
  43. if (!$this->hasErrors()) {
  44. $this->_user = $this->getUser();
  45. if (!$this->_user || !$this->_user->validatePassword($this->password)) {
  46. $this->addError($attribute, '用户名或密码错误.');
  47. }
  48. }
  49. }
  50. /**
  51. * @inheritdoc
  52. */
  53. public function attributeLabels()
  54. {
  55. return [
  56. 'username' => '用户名',
  57. 'password' => '密码',
  58. ];
  59. }
  60. /**
  61. * Logs in a user using the provided username and password.
  62. *
  63. * @return boolean whether the user is logged in successfully
  64. */
  65. public function login()
  66. {
  67. if ($this->validate()) {
  68. $this->trigger(self::GET_API_TOKEN);
  69. return $this->_user;
  70. } else {
  71. return null;
  72. }
  73. }
  74.  
  75. /**
  76. * 根据用户名获取用户的认证信息
  77. *
  78. * @return User|null
  79. */
  80. protected function getUser()
  81. {
  82. if ($this->_user === null) {
  83. $this->_user = User::findByUsername($this->username);
  84. }
  85.  
  86. return $this->_user;
  87. }
  88.  
  89. /**
  90. * 登录校验成功后,为用户生成新的token
  91. * 如果token失效,则重新生成token
  92. */
  93. public function onGenerateApiToken ()
  94. {
  95. if (!User::apiTokenIsValid($this->_user->api_token)) {
  96. $this->_user->generateApiToken();
  97. $this->_user->save(false);
  98. }
  99. }
  100. }

我们回过头来看一下,当我们在UserController的login操作中调用LoginForm的login操作后都发生了什么

1、调用LoginForm的login方法

2、调用validate方法,随后对rules进行校验

3、rules校验中调用validatePassword方法,对用户名和密码进行校验

4、validatePassword方法校验的过程中调用LoginForm的getUser方法,通过common\models\User类的findByUsername获取用户,找不到或者common\models\User的validatePassword对密码校验失败则返回error

5、触发LoginForm::GENERATE_API_TOKEN事件,调用LoginForm的onGenerateApiToken方法,通过common\models\User的apiTokenIsValid校验token的有效性,如果无效,则调用User的generateApiToken方法重新生成

注意common\models\User类必须是用户的认证类,如果不知道如何创建完善该类,请围观这里 用户管理之user组件的配置

下面补充本节增加的common\models\User的相关方法

  1. /**
  2. * 生成 api_token
  3. */
  4. public function generateApiToken()
  5. {
  6. $this->api_token = Yii::$app->security->generateRandomString() . '_' . time();
  7. }
  8.  
  9. /**
  10. * 校验api_token是否有效
  11. */
  12. public static function apiTokenIsValid($token)
  13. {
  14. if (empty($token)) {
  15. return false;
  16. }
  17.  
  18. $timestamp = (int) substr($token, strrpos($token, '_') + );
  19. $expire = Yii::$app->params['user.apiTokenExpire'];
  20. return $timestamp + $expire >= time();
  21. }
  22.  
  23. 继续补充apiTokenIsValid方法中涉及到的token有效期,在api\config\params.php文件内增加即可
  24.  
  25. <?php
  26. return [
  27. // ...
  28. // token 有效期默认1天
  29. 'user.apiTokenExpire' => **,
  30. ];

到这里呢,客户端登录 服务端返回token给客户端就完成了。

按照文中一开始的分析,客户端应该把获取到的token存到本地,比如cookie中。以后再需要token校验的接口访问中,从本地读取比如从cookie中读取并访问接口即可。

根据token请求用户的认证操作

假设我们已经把获取到的token保存起来了,我们再以访问用户信息的接口为例。

yii\filters\auth\QueryParamAuth类认定的token参数是 access-token,我们可以在行为中修改下

  1.  
  1. public function behaviors()
  2. {
  3. return ArrayHelper::merge (parent::behaviors(), [
  4. 'authenticator' => [
  5. 'class' => QueryParamAuth::className(),
  6. 'tokenParam' => 'token',
  7. 'optional' => [
  8. 'login',
  9. 'signup'
  10. ],
  11. ]
  12. ] );
  13. }
  1.  

这里将默认的access-token修改为token。

我们在配置文件的urlManager组件中增加对userProfile操作

  1.  
  1. 'extraPatterns' => [
  2. 'POST login' => 'login',
  3. 'POST signup' => 'signup',
    //'GET signup-test' => 'signup-test',
    'GET user-profile' => 'user-profile',
    ]
  1.  

我们用postman模拟请求访问下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145发现,抛出了一个异常

\"findIdentityByAccessToken\" is not implemented.

这是怎么回事呢?

我们找到 yii\filters\auth\QueryParamAuth 的authenticate方法,发现这里调用了
common\models\User类的loginByAccessToken方法,有同学疑惑了,common\models\User类没实现loginByAccessToken方法为啥说findIdentityByAccessToken方法没实现?如果你还记得common\models\User类实现了yii\web\user类的接口的话,你应该会打开yii\web\User类找答案。没错,loginByAccessToken方法在yii\web\User中实现了,该类中调用了common\models\User的findIdentityByAccessToken,但是我们看到,该方法中通过throw抛出了异常,也就是说这个方法要我们自己手动实现!

这好办了,我们就来实现下common\models\User类的findIdentityByAccessToken方法吧

  1.  
  1. public static function findIdentityByAccessToken($token, $type = null)
  2. {
  3. // 如果token无效的话,
  4. if(!static::apiTokenIsValid($token)) {
  5. throw new \yii\web\UnauthorizedHttpException("token is invalid.");
  6. }
  7.  
  8. return static::findOne(['api_token' => $token, 'status' => self::STATUS_ACTIVE]);
  9. // throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.');
  10. }

验证完token的有效性,下面就要开始在UserController中实现主要的业务逻辑部分了。

  1.  
  1. /**
  2. * 获取用户信息
  3. */
  4. public function actionUserProfile ($token)
  5. {
  6. // 到这一步,token都认为是有效的了
  7. // 下面只需要实现业务逻辑即可,下面仅仅作为案例,比如你可能需要关联其他表获取用户信息等等
  8. $user = User::findIdentityByAccessToken($token);
  9. return [
  10. 'id' => $user->id,
  11. 'username' => $user->username,
  12. ];
  13. }

服务端返回的数据类型定义

在postman中我们可以以何种数据类型输出的接口的数据,但是,有些人发现,当我们把postman模拟请求的地址copy到浏览器地址栏,返回的又却是xml格式了,而且我们明明在UserProfile操作中返回的是属组,怎么回事呢?

这其实是官方捣的鬼啦,我们一层层源码追下去,发现在yii\rest\Controller类中,有一个 contentNegotiator行为,该行为指定了允许返回的数据格式formats是json和xml,返回的最终的数据格式根据请求头中Accept包含的首先出现在formats中的为准,你可以在yii\filters\ContentNegotiator的negotiateContentType方法中找到答案。

你可以在浏览器的请求头中看到

Accept:

text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

即application/xml首先出现在formats中,所以返回的数据格式是xml类型,如果客户端获取到的数据格式想按照json进行解析,只需要设置请求头的Accept的值等于application/json即可

有同学可能要说,这样太麻烦了,啥年代了,谁还用xml,我就想服务端输出json格式的数据,怎么做?

办法就是用来解决问题滴,来看看怎么做。api\config\main.php文件中增加对response的配置

  1.  
  1. 'response' => [
  2. 'class' => 'yii\web\Response',
  3. 'on beforeSend' => function ($event) {
  4. $response = $event->sender;
  5. $response->format = yii\web\Response::FORMAT_JSON;
  6. },
  7. ],
  1.  

如此,不管你客户端传什么,服务端最终输出的都会是json格式的数据了。

自定义错误处理机制

再来看另外一个比较常见的问题:

你看我们上面几个方法哈,返回的结果是各式各样的,这样就给客户端解析增加了困扰,而且一旦有异常抛出,返回的代码还都是一堆一堆的,头疼,怎么办?

说到这个问题之前呢,我们先说一下yii中先关的异常处理类,当然,有很多哈。比如下面常见的一些,其他的自己去挖掘

  1. yii\web\BadRequestHttpException
  2. yii\web\ForbiddenHttpException
  3. yii\web\NotFoundHttpException
  4. yii\web\ServerErrorHttpException
  5. yii\web\UnauthorizedHttpException
  6. yii\web\TooManyRequestsHttpException

实际开发中各位要善于去利用这些类去捕获异常,抛出异常。说远了哈,我们回到重点,来说如何自定义接口异常响应或者叫自定义统一的数据格式,比如向下面这种配置,统一响应客户端的格式标准。

  1.  
  1. 'response' => [
  2. 'class' => 'yii\web\Response',
  3. 'on beforeSend' => function ($event) {
  4. $response = $event->sender;
  5. $response->data = [
  6. 'code' => $response->getStatusCode(),
  7. 'data' => $response->data,
  8. 'message' => $response->statusText
  9. ];
  10. $response->format = yii\web\Response::FORMAT_JSON;
  11. },
  12. ],
  1.  

说道了那么多,本文就要结束了,刚开始接触的同学可能有一些蒙,不要蒙,慢慢消化,先知道这么个意思,了解下restful api接口在整个过程中是怎么用token授权的就好。这样真正实际用到的时候,你也能举一反三!老样子,有任何问题或者赞美的话,下方留言哦

通过API接口向服务器提交数据

参看下图:

控制API接口返回那些数据,不能返回那些数据

其实就是控制返回的字段,具体怎么处理,等我有时间了再总结吧。

用yii2给app写接口(下)的更多相关文章

  1. 用yii2给app写接口(上)

    Yii2如何实现RESTful风格的API 1.建立单独的应用程序 为了增加程序的可维护性,易操作性,我们选择新建一套应用程序,这也是为了和前台应用.后台应用区分开操作.有些人要嚷嚷了,为啥非得单独搞 ...

  2. php给app写接口进行接口的加密

    <?php/**inc解析接口客户端接口传输规则:1.用cmd参数(base64)来动态调用不同的接口,接口地址统一为 http://a.lovexpp.com2.将要传过来的参数组成一个数组, ...

  3. 免费API 接口罗列,再也不愁没有服务器开发不了APP了(下)【申明:来源于网络】

    免费API 接口罗列,再也不愁没有服务器开发不了APP了(下)[申明:来源于网络] 地址:http://mp.weixin.qq.com/s/QzZTIG-LHlGOrzfdvCVR1g

  4. 【转载】php如何给APP端写接口

    如何写好接口 目的:清楚明白所写接口的用途 安全性:做好接口的安全性,防止接口数据泄露,做好必要的参数加密措施 按需分配: 接受值和返回值要实用,不接受和返回不需要的数据,返回值返回什么应与使用者时时 ...

  5. java servlet手机app访问接口(一)数据加密传输验证

    前面几篇关于servlet的随笔,算是拉通了 servlet的简单使用流程,接下去的文章将主要围绕手机APP访问接口这块出发续写,md5加密传输--->短信验证--->手机推送---> ...

  6. 前端必备之Node+mysql+ejs模版如何写接口

    前端必备之Node+mysql+ejs模版如何写接口 这星期公司要做一个视频的后台管理系统, 让我用Node+mysql+ejs配合写接口, 周末在家研究了一下, 趁还没来具体需求把研究内容在这里分享 ...

  7. node+pm2+express+mysql+sequelize来搭建网站和写接口

    前面的话:在这里已经提到了安装node的方法,node是自带npm的.我在技术中会用es6去编写,然后下面会分别介绍node.pm2.express.mysql.sequelize.有少部分是摘抄大佬 ...

  8. 带你实现开发者头条APP(五)--RecyclerView下拉刷新上拉加载

    title: 带你实现开发者头条APP(五)--RecyclerView下拉刷新上拉加载 tags: -RecyclerView,下拉刷新,上拉加载更多 grammar_cjkRuby: true - ...

  9. App开放接口api安全性的设计与实现

    前言 在app开放接口api的设计中,避免不了的就是安全性问题,因为大多数接口涉及到用户的个人信息以及一些敏感的数据,所以对这些接口需要进行身份的认证, 那么这就需要用户提供一些信息,比如用户名密码等 ...

随机推荐

  1. c#动态编译并执行字符串

    比较简单,步骤是这样的 string -> compiler -> assembly -> reflection -> execution 直接上代码: using Syste ...

  2. (1-1)SpringCloud-Eureka:服务的注册与发现

    SpringCloud Eureka是SpringCloud Netflix服务套件中的一部分,它基于Netflix Eureka做了二次封装,主要负责完成微服务架构中的服务治理功能.下面来做一个示例 ...

  3. Web应用基础

    B-S架构 架构的发展 1,c/s架构 (client客户端-server服务端)         (胖客户端:要求客户端运行业务:把业务放到服务器端,则是瘦客户端)         典型的c/s应用 ...

  4. 错误:This function has none of DETERMINISTIC... 的解决

    问题: 在MySQL创建了一个批量插入的存储过程,在代码中调用的时候报错误信息: error code [1418];This function has none of DETERMINISTIC, ...

  5. android新建项目

    MinMum Required SDK :最低支持的Android api的版本,你的应用不能在低于这个版本的手机上面运行 Target SDK:你的应用最高支持android api版本 Compi ...

  6. event跨进程通信

    event天生的弱势,只有mutex可以感知丢失,就是将另一个进程关闭了,event无法感知. event1: #include <stdio.h> #include <stdlib ...

  7. input里面placeholder水平居中

    <style type="text/css">input::-ms-input-placeholder{text-align: center;}input::-webk ...

  8. jQuery&Ajax应用

    jQuery对Ajax操作进行了封装,在jQuery中$.ajax()方法属于最底层的方法,第二层是load(),$.get()和$.post()方法,第三层是$.getScript(),$.getJ ...

  9. LINUX文件定位

    body, table{font-family: 微软雅黑; font-size: 10pt} table{border-collapse: collapse; border: solid gray; ...

  10. Dell服务器R320在Centos6.5系统上安装MegaCli管理主板集成磁盘阵列卡

    折腾了两天啊,我的神啊,,终于可以安装了 针对Dell服务器的R320版本主板集成的磁盘阵列卡,需要下载MegaCli 8或更新版本 下载链接: http://pan.baidu.com/s/1mgB ...