后端开发：APP与后端交互的安全性

2017-07-15 本文已影响2815人赵晓天

声明

此文原创，未经允许，禁止转载，可以分享。

最近在做一个项目，是一个APP的后端开发。我需要完成后端框架的建立、数据库设计、后端代码的编写。在这里讲一下APP与后端交互的安全性。

没有AUTH的验证

最简单的验证机制是通过session来存储认证信息的，但这个不便于客户端存储，而且有不能跨域请求认证的缺点。

大致流程：

用户登录（输入账户密码）
后端验证
验证通过则在session存储用户ID

每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大。

Basic 认证方式

传统的认证方式就是构造一个字符串，这个字符串里面含有账户名和密码，比如：

$str = "username:password";

如果希望它不可读，可以对其进行base64编码：

$str = "username:password";
$token = base64_encode($str);
echo $token;

dXNlcm5hbWU6cGFzc3dvcmQ=

这样每次请求API的时候加上这个Token值，然后后端获取到这个Token值，对其进行：

$str = base64_decode($token);
$auth = explode(':', $str);
var_dump($auth);

然后使用auth到数据库中进行查询来验证有效性。

但缺点很明显：

被窃取的可能性：每次使用这个token值进行请求，意味着每次请求都在泄露用户的密码。
增加数据库工作量：每次请求都要去数据库查询是否有效，效率明显下降。

对于传统的AUTH方式做了改进，引入JWT。

JWT认证机制

什么是JWT？

Json web token (JWT), 是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。

它的核心就是签名。比如我有一个字符串。

$str = "qq:792598794;name:sungod";

我该怎么验证这是我给的字符串呢？
方法很简单，对这个字符串和一个密钥，一起进行不可逆运算

echo md5($str . 'KEY');
echo sha1($str . 'KEY');
echo crypt($str, 'KEY');

假如我们使用sha1算法对其进行不可逆运行，得到：

81a2453b89cb914c2208a37e3ca4e4f26c44fe43

然后我们将这个结果放入到$str中

$str = "qq:792598794;name:sungod;auth=81a2453b89cb914c2208a37e3ca4e4f26c44fe43";
echo base64_encode($str);

cXE6NzkyNTk4Nzk0O25hbWU6c3VuZ29kO2F1dGg9ODFhMjQ1M2I4OWNiOTE0YzIyMDhhMzdlM2NhNGU0ZjI2YzQ0ZmU0Mw==

这样，如果KEY只有我知道（前提是肯定只有我知道），那么我敢说这个字符串一定是我给的。

利用这个，我们前人总结出了一个规范JWT。

JWT流程

客户端使用账户密码进行签名请求
服务器验证账户密码是否有效
通过验证服务器返回一个Token
客户端存储这个Token，并每次请求都携带
服务器接收到需要验证的请求，验证客户端发来的Token

这个Token可以放在请求头、Cookie、GET、POST，看具体的业务逻辑需要。

如何正确的构造JWT

在PHP中，我们需要一个数组，这个数组用来存储用户的主要信息

$data = [
        'uid'      =>  10000,
        'exp'      =>  time() + 3600,
    ];

uid 表示用户的ID，键值尽量不要取得太长uid三个字符刚好。
exp 表示这个Token什么时候失效，这里是当前时间的1小时后。

对于一个数组，我们不能把它进行不可逆运行，需要将其转换一下。

// 转换为json字符串
$data = json_encode($data);
// 转换为base64编码
$data = base64_encode($data);
echo $data;

最后我们数组成为了一个字符串，每次都不一样，因为有时间在变化

eyJ1aWQiOjEwMDAwLCJleHAiOjE1MDI2ODQ3MjF9

我们这这个字符串与KEY进行不可逆运行（签名），使用PHP自带的函数，它可以很友好的将我们的 data 进行不可逆运行，有关sha1。

$auth = sha1($data . "KEY");
echo $auth;

得到的签名

eb96a0b2df742f89192f40191122845b32fc7d01

将其和经过base64转换的数组信息进行拼接

eyJ1aWQiOjEwMDAwLCJleHAiOjE1MDI2ODQ3MjF9:eb96a0b2df742f89192f40191122845b32fc7d01

最后将其base64编码

ZXlKMWFXUWlPakV3TURBd0xDSmxlSEFpT2pFMU1ESTJPRFEzTWpGOTplYjk2YTBiMmRmNzQyZjg5MTkyZjQwMTkxMTIyODQ1YjMyZmM3ZDAx

这样我们就可以使用此字符串作为Token来和后端进行交互了。

注意

在data数组中不能存放敏感的信息，因为传统的base64编码是可以在客户端解开的。

在此，我们可以自定义一个base64编码，加一个key来进行base64。

下面利用base64修改的一个对称加密方案：

// 自定义Base64编码
function my_base64_encode($data, $key) {
    $str_arr = str_split(base64_encode($data));
    $str_count = count($str_arr);
    foreach (str_split($key) as $key => $value) {
        $key < $str_count && $str_arr[$key] .= $value;
    }
    return join('', $str_arr);
}

// 自定义Base64解码
function my_base64_decode($data, $key) {
    $str_arr = str_split($data, 2);
    $str_count = count($str_arr);
    foreach (str_split($key) as $key => $value) {
        $key <= $str_count  && isset($str_arr[$key]) && $str_arr[$key][1] === $value && $str_arr[$key] = $str_arr[$key][0];
    }
    return base64_decode(join('', $str_arr));
}

使用相同的key进行对称加密，即使别人获取到了Token，也不清楚里面的构造，利用时间换了安全性。

我们利用my_base64_encode对Token进行加密

eyJ1aWQiOjEwMDAwLCJleHAiOjE1MDI2ODQ3MjF9:eb96a0b2df742f89192f40191122845b32fc7d01

得到：

ZtXolkKeMnW_FsXaUlWtlPakV3TURBd0xDSmxlSEFpT2pFMU1ESTJPRFEzTWpGOTplYjk2YTBiMmRmNzQyZjg5MTkyZjQwMTkxMTIyODQ1YjMyZmM3ZDAxCg==

好了！

这是我做后端学到的知识，我认为还是不错的，分享给大家！
写的有不好，或者有问题的地方，欢迎更正！！