PHP APL开发指南

API（Application Programming Interface，应用程序编程接口）是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。

远程过程调用（RPC）：通过作用在共享数据缓存器上的过程（或任务）实现程序间的通信。

【api开发过程】：

1、和 WEB 开发一样，首先需要一些相关的参数，这些参数，都会由客户端传过来，也许是 GET 也许是 POST，这个需要开发团队相互之间约定好，或者制定统一规范。
2、有了参数，根据应用需求，完成数据处理，例如：任务进度更新、APP内购、一局游戏结束数据提交等等
3、数据逻辑处理完之后，返回客户端所需要用到的相关数据，例如：任务状态、内购结果、玩家信息等等
数据怎么返给客户端？
直接输出的形式，如：JSON、xml、TEXT 等等。
4、客户端获取到你返回的数据后，在客户端本地和用户进行交互


简单 API 例子

url:http://wwww/ api.php?a=get_users&uid=123&format=xml

<?php
    $output = array();
    $a = @$_GET['a'] ? $_GET['a'] : '';
    $uid = @$_GET['uid'] ? $_GET['uid'] : 0;
    if (empty($a)) {
        $output = array('data'=>NULL, 'info'=>'坑爹啊!', 'code'=>-201);
        exit(json_encode($output));
    }
    //走接口
    if ($a == 'get_users') {
        //检查用户
        if ($uid == 0) {
            $output = array('data'=>NULL, 'info'=>'The uid is null!', 'code'=>-401);
            exit(json_encode($output));
        }
        //假设 $mysql 是数据库
        $mysql = array(
            10001 => array(
                'uid'=>10001,
                'vip'=>5,
                'nickname' => 'Shine X',
                'email'=>'979137@qq.com',
                'qq'=>979137,
                'gold'=>1500,
                'powerplay'=> array('2xp'=>12,'gem'=>12,'bingo'=>5,'keys'=>5,'chest'=>8),
                'gems'=> array('red'=>13,'green'=>3,'blue'=>8,'yellow'=>17),
                'ctime'=>1376523234,
                'lastLogin'=>1377123144,
                'level'=>19,
                'exp'=>16758,
            ),
            10002 => array(
                'uid'=>10002,
                'vip'=>50,
                'nickname' => 'elva',
                'email'=>'elva@ezhi.net',
                'qq'=>NULL,
                'gold'=>14320,
                'powerplay'=> array('2xp'=>1,'gem'=>120,'bingo'=>51,'keys'=>5,'chest'=>8),
                'gems'=> array('red'=>13,'green'=>3,'blue'=>8,'yellow'=>17),
                'ctime'=>1376523234,
                'lastLogin'=>1377123144,
                'level'=>112,
                'exp'=>167588,
            ),
            10003 => array(
                'uid' => 10003,
                'vip' => 5,
                'nickname' => 'Lily',
                'email' => 'Lily@ezhi.net',
                'qq' => NULL,
                'gold' => 1541,
                'powerplay'=> array('2xp'=>2,'gem'=>112,'bingo'=>4,'keys'=>7,'chest'=>8),
                'gems' => array('red'=>13,'green'=>3,'blue'=>9,'yellow'=>7),
                'ctime' => 1376523234,
                'lastLogin'=> 1377123144,
                'level' => 10,
                'exp' => 1758,
            ),
        );
        
        $uidArr = array(10001,10002,10003);
        if (in_array($uid, $uidArr, true)) {
            $output = array('data' => NULL, 'info'=>'The user does not exist!', 'code' => -402);
            exit(json_encode($output));
        }
        //查询数据库
        $userInfo = $mysql[$uid];
        
        //输出数据
        $output = array(
            'data' => array(
                'userInfo' => $userInfo,
                'isLogin' => true,//是否首次登陆
                'unread' => 4,//未读消息数量
                'untask' => 3,//未完成任务
            ), 
            'info' => 'Here is the message which, commonly used in popup window', //消息提示，客户端常会用此作为给弹窗信息。
            'code' => 200, //成功与失败的代码，一般都是正数或者负数
        );
        exit(json_encode($output));
    } elseif ($a == 'get_games_result') {
        //...
        die('您正在调 get_games_result 接口!');
    } elseif ($a == 'upload_avatars') {
        //....
        die('您正在调 upload_avatars 接口!');
    }

API 应该注意的几个事项：

1、单文件实现多接口的形式有很多种，例如：if..elseif.. 或 switch 或 动态方法 (也就是TP的这种访问函数体的形式)
2、对于数据的输出最好用json，json具有相当强大的跨平台性，市场上各大主流编程语言都支持json解析，json正在逐步取代xml，成为网络数据的通用格式
3、接口安全，一定要增加接口验证。例如，客户端和服务端针对不同接口统一做好加密方式，服务端在对于每次接口需要都要进行验证。以保证防止接口被恶意刷新或黑客恶意调用，尤其是大型商业应用。
4、对于线上的 API 必须保证所有接口正常且关闭所有的错误信息 => error_reporting(0)，在输出JSON 时，不能有任何其它输出，否则，客户端将解析数据失败，直接 Crash！
5、开发 API 和 WEB 有一定的区别，如果是 WEB 的话，可能代码出错了，不会导致特别严重的错误，也许只是导致数据写入和查询失败，也许导致 WEB 的某个部分错位或乱码。但如果是 API，直接 Crash！
6、做接口开发，不建议使用框架开发，原因概括起来有两点（其实我有点冒风险的，本人也是 TPer 一枚，毕竟这是TP的官网）：
　　1）客户端一般对服务端的响应速度有极高要求，因此，使用最原生态的 PHP 完成接口开发，是最高效的，假如用到了框架，还需要加载各种不需要多余的文件，就好比夏天穿了件冬天的衣服。试想，你在玩手机的时候，使用一个应用随便一个操作，等半天才有动静，你受的了吗？

　　2）就是上面第4点提到的，框架对于WEB开发，是件很幸福的事，但对于 API 而言，你实在不敢想象它会给你出什么岔子！最后你将痛苦不堪~~因为很多框架都是为 WEB 诞生的（我也很期待有一天能看到专门为开发 API 而生的框架或者扩展）

【php开发API接口(注册，登录，查询等)的代码示例】

【开放的API接口时是如何保证数据的安全性的】

    请求来源(身份)是否合法？
    请求参数被篡改？
    请求的唯一性(不可复制)

为了保证数据在通信时的安全性，我们可以采用参数签名的方式来进行相关验证。

一、不进行验证的方式

app调用：http://api.test.com/getproducts?参数1=value1.......

二、MD5参数签名的方式

 我们对api查询产品接口进行优化：

1.给app分配对应的key、secret

2.Sign签名，调用API 时需要对请求参数进行签名验证，签名方式如下：

a. 按照请求参数名称将所有请求参数按照字母先后顺序排序得到：keyvaluekeyvalue...keyvalue 字符串如：将arong=1,mrong=2,crong=3 排序为：arong=1, crong=3,mrong=2 然后将参数名和参数值进行拼接得到参数字符串：arong1crong3mrong2。

b. 将secret加在参数字符串的头部后进行MD5加密 ,加密后的字符串需大写。即得到签名Sign

app调用：http://api.test.com/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&参数1=value1&参数2=value2.......

服务器执行过程：

用户验证，判断key是否存在，同时查询出对应的secret用于验签
验证签名，根据算法将参数进行签名得到sign 与参数中的sign 进行对比
查询数据库获取列表

如上，优化后的请求多了key和sign参数，这样请求的时候就需要合法的key和正确签名sign才可以获取产品数据。这样就解决了身份验证和防止参数篡改问题，如果请求参数被人拿走，没事，他们永远也拿不到secret,因为secret是不传递的。再也无法伪造合法的请求。

 但是...这样就够了吗？细心的同学可能会发现，如果我获取了你完整的链接，一直使用你的key和sign和一样的参数不就可以正常获取数据了...-_-!是的，仅仅是如上的优化是不够的

请求的唯一性：

为了防止别人重复使用请求参数问题，我们需要保证请求的唯一性，就是对应请求只能使用一次，这样就算别人拿走了请求的完整链接也是无效的。唯一性的实现：在如上的请求参数中，我们加入时间戳 ：timestamp（yyyyMMddHHmmss），同样，时间戳作为请求参数之一，也加入sign算法中进行加密。

服务器执行过程：
用户验证，判断key是否存在，同时查询出对应的secret用于验签
验证时间戳，判断请求是否过期
验证签名，根据算法将参数进行签名得到sign 与参数中的sign 进行对比
查询数据库获取列表

 app调用：http://api.test.com/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&timestamp=201603261407&参数1=value1&参数2=value2.......

如上，我们通过timestamp时间戳用来验证请求是否过期。这样就算被人拿走完整的请求链接也是无效的。

Sign签名安全性分析：

通过上面的案例，我们可以看出，安全的关键在于参与签名的secret，整个过程中secret是不参与通信的，所以只要保证secret不泄露，请求就不会被伪造。

上述的Sign签名的方式能够在一定程度上防止信息被篡改和伪造，保障通信的安全，这里使用的是MD5进行加密，当然实际使用中大家可以根据实际需求进行自定义签名算法，比如：RSA，SHA等。

【例子】

客户端：

const TOKEN = 'API';


//时间戳
$timeStamp = time();
//随机数
$chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
$str = "";
for ($i = 0; $i < $length; $i++) {
   $str .= substr($chars, mt_rand(0, strlen($chars) - 1), 1);
}
$randomStr= "z".$str


//生成签名
$arr['timeStamp'] = $timeStamp;
$arr['randomStr'] = $randomStr;
$arr['token'] = self::TOKEN;
//按照首字母大小写顺序排序
sort($arr,SORT_STRING);
//拼接成字符串
$str = implode($arr);
//进行加密
$signature = sha1($str);
$signature = md5(md5($signature));
//转换成大写
$signature = strtoupper($signature);


//url地址
$url = "http://www.apitest.com/Server/Server/respond/t/{$timeStamp}/r/{$randomStr}/s/{$signature}";


$curl = curl_init();
//需要请求的是哪个地址
curl_setopt($curl,CURLOPT_URL,$url);
//表示把请求的数据已文件流的方式输出到变量中
curl_setopt($curl,CURLOPT_RETURNTRANSFER,1);


$result = curl_exec($curl);
curl_close($curl);

dump($result);


服务器：
//验证身份
$timeStamp = $_GET['t'];
$randomStr = $_GET['r'];
$signature = $_GET['s'];


$arr['timeStamp'] = $timeStamp;
$arr['randomStr'] = $randomStr;
$arr['token'] = self::TOKEN;
//按照首字母大小写顺序排序
sort($arr,SORT_STRING);
//拼接成字符串
$str = implode($arr);
//进行加密
$signature = sha1($str);
$signature = md5($signature);
//转换成大写
$str = strtoupper($signature);
if($str != $signature){
    echo "-1";
    exit;
}
//模拟数据
$arr['name'] = 'api';
$arr['age'] = 15;
$arr['address'] = 'zz';
$arr['ip'] = "192.168.0.1";
echo json_encode($arr);