文档章节

RESTFul架构权限设计

lilugirl
 lilugirl
发布于 2016/04/19 16:38
字数 505
阅读 143
收藏 15

1 用户权限认证后获取服务端的token,将token存入客户端cookie中。

2 将cookie放入客户端请求页面的头部信息 X-CSRF-TOKEN中 

示例代码

<!doctype html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="csrf-token" content="abcd">
    <title>Document</title>
</head>
<body>


<script src="//cdn.bootcss.com/jquery/2.2.1/jquery.js">
</script>
<script>
    $(function(){
        alert('ready');

        $.ajaxSetup({
            headers: {
                'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
            }
        });


        $.post('test_token.php',{username:"lilu"},function(){
            alert('back');
        });



    });


</script>
</body>
</html>


3 服务端验证token


function get_all_headers() {
    $headers = array();

    foreach($_SERVER as $key => $value) {
        if(substr($key, 0, 5) === 'HTTP_') {
            $key = substr($key, 5);
            $key = strtolower($key);
            $key = str_replace('_', ' ', $key);
            $key = ucwords($key);
            $key = str_replace(' ', '-', $key);

            $headers[$key] = $value;
        }
    }

    return $headers;
}

$a=get_all_headers();
if($a['X-Csrf-Token']=="abcd"){
    echo json_encode(['message'=>'ok']);
}else{
    echo json_encode(['message'=>'failed']);
}


如果怕token不安全,比如cookie的存储时间过长,被搜索引擎或者黑客截获。 那么可以在服务端增加对客户端请求地址来源(HTTP_ORIGIN)的判断,给反馈结果加上Access-Control-Allow-Origin的头部信息,从而阻止客户端对结果的读取。 

其实怕token直接显示在url上被搜索引擎收录这个问题,只要我们不要把token写在url上,而是像上面的例子写在头部信息 X-CSRF-TOKEN

中就能破。


针对cookie可能被黑客截获的情况 代码大概如下 


$http_origin_allow=['http://www.xxx.com','http://www.xxx.net'];

$http_origin = $_SERVER['HTTP_ORIGIN'];


        $j=count($http_origin_allow);
        for($i=0;$i<$j;$i++){

            if($http_origin==$http_origin_allow[$i]){
                 header("Access-Control-Allow-Origin: $http_origin");


            }
        }


那如果客户端对HTTP_ORIGIN 的值做了伪造怎么办? 这个嘛 我自己尝试去伪造 发现好像不能伪造,实在要是有高手能伪造成功,那么就使出终极大招封IP呗,宁可错杀一万,不可放过一个。 


另一问题是 如果我希望我的API是公开被调用的,但是对每个IP的调用次数有个限制,那么就根据客户端的IP来控制调用次数即可 ,那么如果客户端的IP也是伪造的并且不断变化呢 ? 这个嘛 还没有想到怎么破 ,比较强硬的手段就是封锁ip。 

© 著作权归作者所有

共有 人打赏支持
lilugirl
粉丝 94
博文 390
码字总数 107806
作品 0
杨浦
程序员
私信 提问
加载中

评论(1)

yangjh_chs
yangjh_chs
赞一个
极简的Restful框架推荐->Resty(服务端+客户端)

源码链接:OSC -> Resty Github -> Resty 在线开发手册 如果你还不是很了解restful,或者认为restful只是一种规范不具有实际意义,推荐一篇osc两年前的文章:RESTful API 设计最佳实践 和 In...

Dreampie
2015/01/08
0
67
极简的RESTful框架(服务端+客户端)--Resty

源码链接:OSC -> Resty Github -> Resty 在线开发手册 如果你还不是很了解restful,或者认为restful只是一种规范不具有实际意义,推荐一篇osc两年前的文章:RESTful API 设计最佳实践 和 In...

Dreampie
2015/01/04
18.9K
20
RESTful API 编写指南

本文首载于 Gevin的博客 基于一些不错的RESTful开发组件,可以快速的开发出不错的RESTful API,但如果不了解开发规范的、健壮的RESTful API的基本面,即便优秀的RESTful开发组件摆在面前,也...

Gevin
2016/06/06
0
0
Flask Restful API权限管理设计与实现

在使用flask设计restful api的时候,有一个很重要的问题就是如何进行权限管理,以及如何进行角色的定义,在网上找了一下没有发现有类似的资料,虽然有些针对网站进行的权限管理设计,但是跟r...

geekpy
2017/08/10
0
0
Spring Boot 之 RESRful API 权限控制

摘要: 原创出处:www.bysocket.com 泥瓦匠BYSocket 希望转载,保留摘要,谢谢! “简单,踏实~ 读书写字放屁” 一、为何用RESTful API 1.1 RESTful是什么? RESTful(Representational State ...

泥沙砖瓦浆木匠
2016/04/20
342
4

没有更多内容

加载失败,请刷新页面

加载更多

阿里云ACM:云原生配置管理利器

摘要: 在传统架构中,如果配置信息有变更,通常是登陆服务器手动修改配置来使配置生效。在微服务架构中,应用数和节点数由于微服务化数量激增,导致发布次数增加,配置变更难度加大,通常是...

阿里云官方博客
29分钟前
2
0
js 对象合并

var o1 = { a: 1 };var o2 = { b: 2 };var o3 = { c: 3 };var obj = Object.assign(o1, o2, o3);console.log(obj); // { a: 1, b: 2, c: 3 }console.log(o1); // { a: 1, b: 2, c: 3 ......

zdglf
29分钟前
2
0
iframe引入方法

在js里定义: $(function () { $(".frameHead").load("../common/header.html"); $(".frameFoot").load("../common/footer.html"); }) 在需要导入iframe的页面添加标签<div class="frameHead......

kitty1116
29分钟前
3
0
华尔街留下的指标之王(附代码展示)

一. 写在前面的话 有人认为价格围绕价值上下波动,研究投资标的内在价值,于是就出现了基本面派; 有人为价格反映了一切,所有的信息(包括基本面)都反映到了盘面价格中,于是就有了技术面派...

酒逢知己千杯少
32分钟前
1
0
基于算法的建模--小结

中国龙-扬科
40分钟前
1
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部