api设计 - php 接口 token 数据加密

最新推荐文章于 2023-11-12 23:17:33 发布

weixin_30500663

最新推荐文章于 2023-11-12 23:17:33 发布

阅读量193

点赞数

文章标签： php 数据库

原文链接：http://www.cnblogs.com/behindman/p/token.html

版权

最近在用php写app的接口，有一些疑问

首先关于token(令牌)
token是用户登录的时候生成的
用户token在服务端保存入库客户端则缓存在本地大部分接口都要求客户端发送token 和服务端数据库中的token进行验证

每个用户唯一token 是由年月和客户端机器码标识用户id 组成的
(年月是做登录保存期限用的机器码是在持保证用户下次登录时，快捷识别登录来源，判断是否需要重新登录的重要凭证，用户id其实是顺便加的)

问题来了
=。= 这东西感觉做出来就和session没什么区别
**如果直接抓一下包
每个用户通一个平台的客户端的token都是一样的对于防攻击并没有什么用**
而且这种token是基于用户的所以用户的登录注册验证(防机器人)验证上这种token是帮不了忙的
=。=我还在再设计一个啥来验证 (有办法在这种token思路上把登录注册验证也做了吗)

回复内容：

最近在用php写app的接口，有一些疑问

此问题简单至极，以php举例。
但和session不一样，和cookies有点接近，设计这个是为了解决cookies传值麻烦的问题。

首先在登陆的过程中，用户向服务端提交数据应有
username、password、client_key
php在服务端拿到这些数据之后，用校验算法获取校验值，如md5。
(ps:不加密码是不行的，否则用户修改密码后之前的还是可以快捷登陆，这不坑人吗)
$salt是一个加密key，防止别人猜到加密算法。

$token=md5($username.$password.date('yyyy').date('mm').$client_key.$salt);

计算完成后将$token返回到客户端，作为存储。以后客户端只需要向服务端发送此$token和用户名。

当php收到这个$token就再做一次上面的运算，看是否一致即可快捷判断。

如果需要防止恶意注册和登陆，就需要在客户端对client_key进行加密，然后服务端解密做验证，然而这并没有什么卵用，一切客户端的代码都是不安全的，可以通过反编译，反混淆来分析，然后照样伪造。所以客户端的加密没有意义。
另外，服务器通过ip判断也是一个办法。
然而，从根源上来讲，防止恶意攻击就需要验证手机号才能注册，目前基本上通过此种方法实现。

我也在写，还没有实现

1.如果用户是通过token验证登陆的,在app上也就是类似cookie的东西,用户拿来登陆是没什么问题,如果是当用户换客户端登陆,则需要重新登陆,那在验证的时候再获取客户端机器码匹配一下.

另外客户端的token也可以做复杂,用js进行加密处理,在php获取再进行解析.

虽然token在一定程度上是不安全的，但是相比较，比传递用户密码来的安全。
使用token的场景一般是无状态无cookies的模式，如果有token充当cookies中的sessionID的作用。
token虽然不安全，但是由一定程度的验证模式，那么还是可以使其可信的

刚好前不久自己写了篇博客，虽然没有涉及到一些技术细节，但思路还是有的，看看对你有没有帮助吧。

首先你要明确，Token是用于登录后验证身份的，所以一开始就否决了你期待用它来做防恶意注册，这两者完全不搭嘎。其次，要说Token与Session有什么区别，那区别就在于Token更具有定制型，因为它是由你实现的，就能干很多Session不方便干的事情，比如更好的做设备认证，更方便的控制有效期，更好的跨平台性……最重要的，HTTP协议本身定义就是无状态的，而Cookie这种东西的存在无疑有损无状态这个定义，所以几乎所有的接口都拒绝使用Cookie，弃了Cookie，那Token自然成了验证的首选。最后，Token的安全性着重于其不会被破解，不会被篡改，而不在于它传输时会不会被截取造成中间者攻击。截取的防护应该是由你加强传输过程中的安全性来实现的，比如增加参数签名，或者直接上HTTPS。

转载于:https://www.cnblogs.com/behindman/p/token.html