您好,登錄后才能下訂單哦!
這篇文章將為大家詳細(xì)講解有關(guān)yii2中resetful授權(quán)驗(yàn)證的示例分析,小編覺得挺實(shí)用的,因此分享給大家做個(gè)參考,希望大家閱讀完這篇文章后可以有所收獲。
業(yè)務(wù)分析
我們先來(lái)了解一下整個(gè)邏輯
1.用戶在客戶端填寫登錄表單
2.用戶提交表單,客戶端請(qǐng)求登錄接口login
3.服務(wù)端校驗(yàn)用戶的帳號(hào)密碼,并返回一個(gè)有效的token給客戶端
4.客戶端拿到用戶的token,將之存儲(chǔ)在客戶端比如cookie中
5.客戶端攜帶token訪問需要校驗(yàn)的接口比如獲取用戶個(gè)人信息接口
6.服務(wù)端校驗(yàn)token的有效性,校驗(yàn)通過,反正返回客戶端需要的信息,校驗(yàn)失敗,需要用戶重新登錄
本文我們以用戶登錄,獲取用戶的個(gè)人信息為例進(jìn)行詳細(xì)的完整版說(shuō)明。
以上,便是我們本篇文章要實(shí)現(xiàn)的重點(diǎn)。先別激動(dòng),也別緊張,分析好了之后,細(xì)節(jié)部分我們?cè)僖徊揭粋€(gè)腳印走下去。
準(zhǔn)備工作
1.你應(yīng)該有一個(gè)api應(yīng)用.
2.對(duì)于客戶端,我們準(zhǔn)備采用postman進(jìn)行模擬,如果你的google瀏覽器還沒有安裝postman,請(qǐng)先自行下載
3.要測(cè)試的用戶表需要有一個(gè)api_token的字段,沒有的請(qǐng)先自行添加,并保證該字段足夠長(zhǎng)度
4.api應(yīng)用開啟了路由美化,并先配置post類型的login操作和get類型的signup-test操作
5.關(guān)閉了user組件的session會(huì)話
關(guān)于上面準(zhǔn)備工作的第4點(diǎn)和第5點(diǎn),我們貼一下代碼方便理解
'components' => [ 'user' => [ 'identityClass' => 'common\models\User', 'enableAutoLogin' => true, 'enableSession' => false, ], 'urlManager' => [ 'enablePrettyUrl' => true, 'showScriptName' => false, 'enableStrictParsing' => true, 'rules' => [ [ 'class' => 'yii\rest\UrlRule', 'controller' => ['v1/user'], 'extraPatterns' => [ 'POST login' => 'login', 'GET signup-test' => 'signup-test', ] ], ] ], // ...... ],
signup-test操作我們后面添加測(cè)試用戶,為登錄操作提供便利。其他類型的操作后面看需要再做添加。
認(rèn)證類的選擇
我們?cè)赼pi\modules\v1\controllers\UserController中設(shè)定的model類指向 common\models\User類,為了說(shuō)明重點(diǎn)這里我們就不單獨(dú)拿出來(lái)重寫了,看各位需要,有必要的話再單獨(dú)copy一個(gè)User類到api\models下。
校驗(yàn)用戶權(quán)限我們以 yii\filters\auth\QueryParamAuth 為例
use yii\filters\auth\QueryParamAuth; public function behaviors() { return ArrayHelper::merge (parent::behaviors(), [ 'authenticator' => [ 'class' => QueryParamAuth::className() ] ] ); }
如此一來(lái),那豈不是所有訪問user的操作都需要認(rèn)證了?那不行,客戶端第一個(gè)訪問login操作的時(shí)候哪來(lái)的token,yii\filters\auth\QueryParamAuth對(duì)外提供一個(gè)屬性,用于過濾不需要驗(yàn)證的action。我們將UserController的behaviors方法稍作修改
public function behaviors() { return ArrayHelper::merge (parent::behaviors(), [ 'authenticator' => [ 'class' => QueryParamAuth::className(), 'optional' => [ 'login', 'signup-test' ], ] ] ); }
這樣login操作就無(wú)需權(quán)限驗(yàn)證即可訪問了。
添加測(cè)試用戶
為了避免讓客戶端登錄失敗,我們先寫一個(gè)簡(jiǎn)單的方法,往user表里面插入兩條數(shù)據(jù),便于接下來(lái)的校驗(yàn)。
UserController增加signupTest操作,注意此方法不屬于講解范圍之內(nèi),我們僅用于方便測(cè)試。
use common\models\User; /** * 添加測(cè)試用戶 */ public function actionSignupTest () { $user = new User(); $user->generateAuthKey(); $user->setPassword('123456'); $user->username = '111'; $user->email = '111@111.com'; $user->save(false); return [ 'code' => 0 ]; }
如上,我們添加了一個(gè)username是111,密碼是123456的用戶
登錄操作
假設(shè)用戶在客戶端輸入用戶名和密碼進(jìn)行登錄,服務(wù)端login操作其實(shí)很簡(jiǎn)單,大部分的業(yè)務(wù)邏輯處理都在api\models\loginForm上,來(lái)先看看login的實(shí)現(xiàn)
use api\models\LoginForm; /** * 登錄 */ public function actionLogin () { $model = new LoginForm; $model->setAttributes(Yii::$app->request->post()); if ($user = $model->login()) { if ($user instanceof IdentityInterface) { return $user->api_token; } else { return $user->errors; } } else { return $model->errors; } }
登錄成功后這里給客戶端返回了用戶的token,再來(lái)看看登錄的具體邏輯的實(shí)現(xiàn)
新建api\models\LoginForm.PHP
<?php namespace api\models; use Yii; use yii\base\Model; use common\models\User; /** * Login form */ class LoginForm extends Model { public $username; public $password; private $_user; const GET_API_TOKEN = 'generate_api_token'; public function init () { parent::init(); $this->on(self::GET_API_TOKEN, [$this, 'onGenerateApiToken']); } /** * @inheritdoc * 對(duì)客戶端表單數(shù)據(jù)進(jìn)行驗(yàn)證的rule */ public function rules() { return [ [['username', 'password'], 'required'], ['password', 'validatePassword'], ]; } /** * 自定義的密碼認(rèn)證方法 */ public function validatePassword($attribute, $params) { if (!$this->hasErrors()) { $this->_user = $this->getUser(); if (!$this->_user || !$this->_user->validatePassword($this->password)) { $this->addError($attribute, '用戶名或密碼錯(cuò)誤.'); } } } /** * @inheritdoc */ public function attributeLabels() { return [ 'username' => '用戶名', 'password' => '密碼', ]; } /** * Logs in a user using the provided username and password. * * @return boolean whether the user is logged in successfully */ public function login() { if ($this->validate()) { $this->trigger(self::GET_API_TOKEN); return $this->_user; } else { return null; } } /** * 根據(jù)用戶名獲取用戶的認(rèn)證信息 * * @return User|null */ protected function getUser() { if ($this->_user === null) { $this->_user = User::findByUsername($this->username); } return $this->_user; } /** * 登錄校驗(yàn)成功后,為用戶生成新的token * 如果token失效,則重新生成token */ public function onGenerateApiToken () { if (!User::apiTokenIsValid($this->_user->api_token)) { $this->_user->generateApiToken(); $this->_user->save(false); } } }
我們回過頭來(lái)看一下,當(dāng)我們?cè)赨serController的login操作中調(diào)用LoginForm的login操作后都發(fā)生了什么
1、調(diào)用LoginForm的login方法
2、調(diào)用validate方法,隨后對(duì)rules進(jìn)行校驗(yàn)
3、rules校驗(yàn)中調(diào)用validatePassword方法,對(duì)用戶名和密碼進(jìn)行校驗(yàn)
4、validatePassword方法校驗(yàn)的過程中調(diào)用LoginForm的getUser方法,通過common\models\User類的findByUsername獲取用戶,找不到或者common\models\User的validatePassword對(duì)密碼校驗(yàn)失敗則返回error
5、觸發(fā)LoginForm::GENERATE_API_TOKEN事件,調(diào)用LoginForm的onGenerateApiToken方法,通過common\models\User的apiTokenIsValid校驗(yàn)token的有效性,如果無(wú)效,則調(diào)用User的generateApiToken方法重新生成
注意common\models\User類必須是用戶的認(rèn)證類.
下面補(bǔ)充本節(jié)增加的common\models\User的相關(guān)方法
/** * 生成 api_token */ public function generateApiToken() { $this->api_token = Yii::$app->security->generateRandomString() . '_' . time(); } /** * 校驗(yàn)api_token是否有效 */ public static function apiTokenIsValid($token) { if (empty($token)) { return false; } $timestamp = (int) substr($token, strrpos($token, '_') + 1); $expire = Yii::$app->params['user.apiTokenExpire']; return $timestamp + $expire >= time(); }
繼續(xù)補(bǔ)充apiTokenIsValid方法中涉及到的token有效期,在api\config\params.php文件內(nèi)增加即可
<?php return [ // ... // token 有效期默認(rèn)1天 'user.apiTokenExpire' => 1*24*3600, ];
到這里呢,客戶端登錄 服務(wù)端返回token給客戶端就完成了。
按照文中一開始的分析,客戶端應(yīng)該把獲取到的token存到本地,比如cookie中。以后再需要token校驗(yàn)的接口訪問中,從本地讀取比如從cookie中讀取并訪問接口即可。
根據(jù)token請(qǐng)求用戶的認(rèn)證操作
假設(shè)我們已經(jīng)把獲取到的token保存起來(lái)了,我們?cè)僖栽L問用戶信息的接口為例。
yii\filters\auth\QueryParamAuth類認(rèn)定的token參數(shù)是 access-token,我們可以在行為中修改下
public function behaviors() { return ArrayHelper::merge (parent::behaviors(), [ 'authenticator' => [ 'class' => QueryParamAuth::className(), 'tokenParam' => 'token', 'optional' => [ 'login', 'signup-test' ], ] ] ); }
這里將默認(rèn)的access-token修改為token。
我們?cè)谂渲梦募膗rlManager組件中增加對(duì)userProfile操作
'extraPatterns' => [ 'POST login' => 'login', 'GET signup-test' => 'signup-test', 'GET user-profile' => 'user-profile', ]
我們用postman模擬請(qǐng)求訪問下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145發(fā)現(xiàn),拋出了一個(gè)異常
\"findIdentityByAccessToken\" is not implemented.
這是怎么回事呢?
我們找到 yii\filters\auth\QueryParamAuth 的authenticate方法,發(fā)現(xiàn)這里調(diào)用了 common\models\User類的loginByAccessToken方法,有同學(xué)疑惑了,common\models\User類沒實(shí)現(xiàn)loginByAccessToken方法為啥說(shuō)findIdentityByAccessToken方法沒實(shí)現(xiàn)?如果你還記得common\models\User類實(shí)現(xiàn)了yii\web\user類的接口的話,你應(yīng)該會(huì)打開yii\web\User類找答案。沒錯(cuò),loginByAccessToken方法在yii\web\User中實(shí)現(xiàn)了,該類中調(diào)用了common\models\User的findIdentityByAccessToken,但是我們看到,該方法中通過throw拋出了異常,也就是說(shuō)這個(gè)方法要我們自己手動(dòng)實(shí)現(xiàn)!
這好辦了,我們就來(lái)實(shí)現(xiàn)下common\models\User類的findIdentityByAccessToken方法吧
public static function findIdentityByAccessToken($token, $type = null) { // 如果token無(wú)效的話, if(!static::apiTokenIsValid($token)) { throw new \yii\web\UnauthorizedHttpException("token is invalid."); } return static::findOne(['api_token' => $token, 'status' => self::STATUS_ACTIVE]); // throw new NotSupportedException('"findIdentityByAccessToken" is not implemented.'); }
驗(yàn)證完token的有效性,下面就要開始實(shí)現(xiàn)主要的業(yè)務(wù)邏輯部分了。
/** * 獲取用戶信息 */ public function actionUserProfile ($token) { // 到這一步,token都認(rèn)為是有效的了 // 下面只需要實(shí)現(xiàn)業(yè)務(wù)邏輯即可,下面僅僅作為案例,比如你可能需要關(guān)聯(lián)其他表獲取用戶信息等等 $user = User::findIdentityByAccessToken($token); return [ 'id' => $user->id, 'username' => $user->username, 'email' => $user->email, ]; }
服務(wù)端返回的數(shù)據(jù)類型定義
在postman中我們可以以何種數(shù)據(jù)類型輸出的接口的數(shù)據(jù),但是,有些人發(fā)現(xiàn),當(dāng)我們把postman模擬請(qǐng)求的地址copy到瀏覽器地址欄,返回的又卻是xml格式了,而且我們明明在UserProfile操作中返回的是屬組,怎么回事呢?
這其實(shí)是官方搗的鬼啦,我們一層層源碼追下去,發(fā)現(xiàn)在yii\rest\Controller類中,有一個(gè) contentNegotiator行為,該行為指定了允許返回的數(shù)據(jù)格式formats是json和xml,返回的最終的數(shù)據(jù)格式根據(jù)請(qǐng)求頭中Accept包含的首先出現(xiàn)在formats中的為準(zhǔn),你可以在yii\filters\ContentNegotiator的negotiateContentType方法中找到答案。
你可以在瀏覽器的請(qǐng)求頭中看到
Accept:
text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
即application/xml首先出現(xiàn)在formats中,所以返回的數(shù)據(jù)格式是xml類型,如果客戶端獲取到的數(shù)據(jù)格式想按照json進(jìn)行解析,只需要設(shè)置請(qǐng)求頭的Accept的值等于application/json即可
有同學(xué)可能要說(shuō),這樣太麻煩了,啥年代了,誰(shuí)還用xml,我就想服務(wù)端輸出json格式的數(shù)據(jù),怎么做?
辦法就是用來(lái)解決問題滴,來(lái)看看怎么做。api\config\main.php文件中增加對(duì)response的配置
'response' => [ 'class' => 'yii\web\Response', 'on beforeSend' => function ($event) { $response = $event->sender; $response->format = yii\web\Response::FORMAT_JSON; }, ],
如此,不管你客戶端傳什么,服務(wù)端最終輸出的都會(huì)是json格式的數(shù)據(jù)了。
自定義錯(cuò)誤處理機(jī)制
再來(lái)看另外一個(gè)比較常見的問題:
你看我們上面幾個(gè)方法哈,返回的結(jié)果是各式各樣的,這樣就給客戶端解析增加了困擾,而且一旦有異常拋出,返回的代碼還都是一堆一堆的,頭疼,怎么辦?
說(shuō)到這個(gè)問題之前呢,我們先說(shuō)一下yii中先關(guān)的異常處理類,當(dāng)然,有很多哈。比如下面常見的一些,其他的自己去挖掘
yii\web\BadRequestHttpException yii\web\ForbiddenHttpException yii\web\NotFoundHttpException yii\web\ServerErrorHttpException yii\web\UnauthorizedHttpException yii\web\TooManyRequestsHttpException
實(shí)際開發(fā)中各位要善于去利用這些類去捕獲異常,拋出異常。說(shuō)遠(yuǎn)了哈,我們回到重點(diǎn),來(lái)說(shuō)如何自定義接口異常響應(yīng)或者叫自定義統(tǒng)一的數(shù)據(jù)格式,比如向下面這種配置,統(tǒng)一響應(yīng)客戶端的格式標(biāo)準(zhǔn)。
'response' => [ 'class' => 'yii\web\Response', 'on beforeSend' => function ($event) { $response = $event->sender; $response->data = [ 'code' => $response->getStatusCode(), 'data' => $response->data, 'message' => $response->statusText ]; $response->format = yii\web\Response::FORMAT_JSON; }, ],
說(shuō)道了那么多,本文就要結(jié)束了,剛開始接觸的同學(xué)可能有一些蒙,不要蒙,慢慢消化,先知道這么個(gè)意思,了解下restful api接口在整個(gè)過程中是怎么用token授權(quán)的就好。
關(guān)于“yii2中resetful授權(quán)驗(yàn)證的示例分析”這篇文章就分享到這里了,希望以上內(nèi)容可以對(duì)大家有一定的幫助,使各位可以學(xué)到更多知識(shí),如果覺得文章不錯(cuò),請(qǐng)把它分享出去讓更多的人看到。
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng),如果涉及侵權(quán)請(qǐng)聯(lián)系站長(zhǎng)郵箱:is@yisu.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。