Implementieren einer RESTful-API-Authentifizierung mithilfe von Token (Yii/Yii2)

Informationen zum Umgang mit Sicherheitsschnittstellen

Konzentrieren Sie sich auf eine Lösung, die alle guten (REST-fähigen) Authentifizierungsmaterialien auf einmal zur Verfügung stellt. Dies wird wahrscheinlich Folgendes sein:

• SSL (am WICHTIGSTEN, sonst wäre "HTTP-Auth" weniger sinnvoll, jeder kann Ihren Request Header/Body Man-in-the-Middle-Angriff auslesen)
• oAuth (oder besser oAuth2!)
• HTTP-Auth
• Token (einschließlich einer begrenzten Lebensdauer, Aktualisierung und möglicherweise IP/DeviceUID-Prüflogik-> wenn es mobil ist!)
• Salz generierte Passwörter
• Benutzerdefinierte HTTP-Header für ID/ENV/CLIENT Überprüfungen oder was auch immer.
• Verschlüsselte Body-Daten für Request und Response, um Datenmanipulationen zu verhindern

Hinweis: Persönliche Benutzerdaten sollten immer verschlüsselt sein!

Vielleicht eine Lösung

Oben sehen Sie die Standardinformationen zu Sicherheitsschnittstellen. Um dauerhafte Sicherheit zu gewährleisten, können Sie es wie im nächsten Teil versuchen. Ich bin nicht sicher über Ihre AppSidePersitence. Vielleicht ist es sqlLite oder so ähnlich. Deshalb verweise ich auf kein codebasiertes DB-Schema, wie ich es bei Yii gemacht habe. Sie benötigen Speicher/Persistenz in Ihrer Yii-Anwendung (Backend) und auch in Ihrer App (Client), um Zeiten und Token zu speichern.

Ihr YiiDBModel

-- -----------------------------------------------------
-- Table `mydb`.`user`
-- -----------------------------------------------------
CREATE TABLE IF NOT EXISTS `mydb`.`user` (
  `id` INT NOT NULL,
  `username` VARCHAR(255) NOT NULL,
  `password` VARCHAR(255) NOT NULL,
  `lastLogin` DATETIME NULL,
  `modified` DATETIME NULL,
  `created` DATETIME NULL,
  PRIMARY KEY (`id`))
ENGINE = InnoDB;

----------------------------------------------------
-- Table `mydb`.`authToken`
-- -----------------------------------------------------
CREATE TABLE IF NOT EXISTS `mydb`.`authToken` (
  `id` INT NOT NULL,
  `userId` INT NOT NULL,
  `token` VARCHAR(255) NOT NULL,
  `created` DATETIME NOT NULL,
  PRIMARY KEY (`id`, `userId`),
  INDEX `fk_authToken_user_idx` (`userId` ASC),
  UNIQUE INDEX `token_UNIQUE` (`token` ASC),
  CONSTRAINT `fk_authToken_user`
    FOREIGN KEY (`userId`)
    REFERENCES `mydb`.`user` (`id`)
    ON DELETE NO ACTION
    ON UPDATE NO ACTION)
ENGINE = InnoDB;

Ihr AppPersitenceModel

Umgang mit Ihrem Token und Gewährleistung der Anmeldesicherheit

1. Alle Token, die Sie auf der Yii-Application-Seite generieren, werden mit einer "erstellten" -Datetime in Ihrer YiiApp-Datenbank gespeichert (siehe Tabelle authToken). Jeder Benutzer hat nur ein "Token", das nach einer korrekten "Login" -Abfrage generiert wird. Auf diese Weise müssen Sie während des "Anmeldens" keine Token überprüfen. Durch das Schema definiert, ist "Token" einzigartig! Ich denke, es besteht keine Notwendigkeit, historische Daten (alte abgelaufene Token) zu verarbeiten.

2. Nachdem das Benutzer-Login von Yii als "erfolgreich" bestätigt wurde, generieren Sie ein neues Benutzer-Token mit dem aktuellen Zeitstempel, das in Ihrer YiiApp-DB gespeichert wird. In Ihrer YiiApp müssen Sie eine "Ablaufzeit" konfigurieren, die zum aktuellen Zeitstempel hinzugefügt wird, beispielsweise wenn Sie "Zeitstempel" verwenden möchten: Der aktuelle Zeitstempel lautet: 1408109484 und Ihre Ablaufzeit ist auf 3600 (was ist.) 3600 sec = 1h). Also ... Ihr Ablaufdatum, das per API gesendet wird, lautet (1408109484+3600). Übrigens Hinweis: Sie müssen keine Attribute wie "code": 200 senden. Antwortcodes sind in Ihren Requests/Response-Header-Daten enthalten. 

   ** 200 OK Antwort-Beispiel, nach erfolgreicher Benutzeranmeldung enthält das berechnete "abgelaufene" Datum: ** 

    {
       "error": null,
       "content": {
           "expires": 1408109484,
           "token": "633uq4t0qdtd1mdllnv2h1vs32"
       }
   }
   

3. Wichtig: Alle Anfragen, die Sie sichern möchten, müssen mit Ihrem generierten User-Token gesendet werden. Welches wird wahrscheinlich in Ihrem DeviceStorage gespeichert. Sie können mit Ihren "Login-Status" - wirklich RESTful - umgehen, wenn Sie HTTP-Response-Codes Right verwenden, z. B. 200 OK (wenn alles in Ordnung ist) oder 401 (nicht berechtigt, Benutzer ist nicht angemeldet oder Sitzung) ist abgelaufen). Sie müssen Ihre Benutzeranfragen auf Yii-Seite überprüfen. Lesen Sie das Token aus eingehenden Anforderungen aus, validieren Sie es aufgrund der angegebenen Token in der Datenbank und vergleichen Sie "erstellte" -DB mit der aktuellen eingehenden Request-Time (HTTP-Requests). 

   ** Request-Example, Standardschema für alle Sicherheitsanforderungen: ** 

   {
       "token": "633uq4t0qdtd1mdllnv2h1vs32"
       "content": {
           "someDataYouNeed" : null
       }
   }
   

   ** 401 Unzulässiges Antwort-Beispiel, Token abgelaufen: ** 

   {
       "error": 1, // errorCode 1: token is expired
       "content": {
           "someDataYouNeed" : null
       }
   }
   

   ** 401 Unauthorized Response-Beispiel, Benutzer ist nicht angemeldet (in YiiDB ist kein Token vorhanden): ** 

   {
       "error": 2, // errorCode 2: user is not logged in
       "content": {
           "someDataYouNeed" : null
       }
   }
   

4. Eine User-Session am Leben erhalten? Das ist ziemlich einfach. Aktualisieren Sie einfach "erstellt" -Datum in authToken- Tabelle auf die aktuelle Anforderungszeit. Tun Sie dies jedes Mal, wenn eine gültige Anfrage vom Benutzer gesendet wurde. Auf diese Weise läuft die Sitzung nicht ab, wenn der Benutzer noch aktiv ist. Stellen Sie sicher, dass Ihr DB-Token nicht abgelaufen ist, bevor Sie das expires- Date-Feld in der DB aktualisieren. Wenn während der Sitzung keine Anforderung gesendet wird, ist das Keep-Alive nicht mehr möglich. 

   Sorry, aber das Hinzufügen von PHP-Codes wäre zu viel.