API 接口设计中Token设计讨论

在实际的网站设计中我们经常会遇到用户数据的验证和加密的问题，如果实现单点，如果保证数据准确，如何放着重放，如何防止CSRF等等。

其中，在所有的服务设计中，都不可避免的涉及到Token的设计。

目前，基于Token的生成方，我们把Token生成分为两种类型。

1、基于用户/网站，可见的加密请求方式

2、基于服务器间通讯的不可见加密请求方式（API Token）

 

---

其中，基于非服务器端的请求，我们要根据实际的应用场景进行一定的自定义加工。
在本次讨论中我们把非服务的请求分为了两部分。

• 需要登录的登录态Token
• 不需要登录的临时态Token

两种请求中：

1、非登录态请求要求用户访问页面时会随机生成唯一且有时效性的token，该token在每次请求时都是不同。改方法用于当不需要登录界面的请求多且无法使用静态页面的时候使用，Token会在一定的时间内失效，以此来防止被机器爬取不需登录的界面

2、登录状态中，token会保存一定的时间，页面中的token会作为用户身份识别，同时登录态的Token需要利用session和页面信息来防止被利用。

虽说两者作用有一定的区别，但是实现的原理是相同的。

---

1、非登录态 客户端Token

 

 

• 其中签名的算法中的{Session}是通过加密的信息，用于判断当前 页面的请求。
• {浏览器摘要}中会记录访问者的ip及浏览器信息，用于防止token被不同的机器使用

使用场景：

• 媒体临时访问页面，用于防止机器爬虫获取token后无限访问其他界面
• 动态临时界面，防止机器不断获取动态临时页面信息中的数据

---

2、登录态Token

登录态的Token一般在用户登录之后由服务器产生，并保存在浏览器中，过期时间较长，用于保存用户的登录状态。
同时，我们也可以在该Token中加入一定的校验元素，例如浏览器信息，ip，获取是Cookies

Token=Encode(MD5({session}+{用户信息摘要}+{Timestamp})+TimeStamp)

如果对时效性较强的页面登录访问，我们可以加入session的校验，设置session的有效时间，能够实现自动退出的校验功能。
TimeStamp用来校验Token的生成时间。

同时，你用redis的Hset可以实现多点登录和单点登录的功能。

• 单点：登录后自动移除之前的token。
• 多点：登陆后添加用户Token列表。
• 退出：session 过期或移除redis

服务端验证Token：

sign+TimeStamp=Decode(Token)

if(sign===MD5({session}+{用户信息摘要}+{Timestamp})){
　　// XXXX
}

---

3、服务器间通讯API Token

在常规的API Token体系中，我们常使用短时过期Token（Oauth Token除外）。
通常 APIToken 是使用非对称加密来实现token的生成，但是世界生产中，Token 的秘钥会简化成app_id,app_key等简单的加盐参数，不过只要秘钥保存合理，Token基本无法被破解。

Token生成算法

/**
     * 生成token
     * @param $user_info string 
     * @param $app_key string  app_key
     * @param $app_id int app_id
     * @return string
     */
    public function generate_access_token($user_info , $app_key, $app_id)
    {
        $time = time();
        $sign = sha1($time . $advertiser_id . $app_key);
        $token = base64_encode("{$time},{$user_info },{$app_id},{$sign}");// 分隔符建议替换成其他的字符
        return $token;
    }

其中 app_key和app_id是一对公钥和私钥，唯一且互相对应。同时app_key一般作为私钥保存。一般服务系统会提供修改app_key的功能，来解决app_key不小心被泄露的问题。

Token 解密

/**
     * 解析token
     * @param $access_token
     * @return array
     */
    public function analysis_access_token($access_token)
    {

        $token_array = base64_decode($access_token);
        $token_array = explode(',', $token_array);// 分隔符由Token生成算法决定
        $time = $token_array[0];
        $user_info = $token_array[1];
        $app_id = $token_array[2];// 暴露在外的公钥
        $sign = $token_array[3];

        if ($time < (time() - 60) || $time > (time() + 60)) { // 校验时间可以自定义
            call_back(1101, 'Access Token expire !token=' . $access_token);
        }

        global $third_platform_app_key;// app_id-app_key对应表

        if (!isset($third_platform_app_key[$app_id])) {
            call_back(1101, 'Access Token App id Error!token=' . $access_token);
        }

        $app_key = $third_platform_app_key[$app_id];

        $local_sign = sha1($time . $user_info . $app_key);// 利用私钥进行签名，验证有效性

        if ($local_sign === $sign) {
            return [
                'access_token' => $access_token,
                'user_info' => $user_info,
                'time' => $time,
                'app_id' => $app_id,
                'app_key' => $app_key,
            ];
        } else {
            call_back(1101, 'Access Token Sign Error!token=' . $access_token);
        }
    }

该Token方式要求每次请求都需要生成新的token来确保请求的时效性。

另外：为了加强API接口请求的完整性，我们也会对请求内容进行字段排序后摘要验证。（详情参考：https://open.taobao.com/docV2.htm?docId=101617&docType=1）

转载于:https://my.oschina.net/u/3477605/blog/3068820