签名验证：自定义签名规则幻灯片.pdf

签名验证：⾃定义签名规则 1.22.1 过滤器服务 正如我们核⼼思想DI⾥⾯所说的，我们把后台很多功能资源都称为服务，所以在 PhalApi框 中我们已经系统规定了DI()-filter为过滤器服务，以实现接⼜请求时的⼀ 些拦截操作，⼀如现在要说明的签名验证。 在接⼜进⾏初始化时，会⾃动调⽤已注册的过滤器服务 DI()-filter ，关键的代码如 下： //$vim ./PhalApi/PhalApi/Api.php public function init() { $this-createMemberValue(); $this-filter heck(); $this-checkStatus(); } protected function filter heck() { $filter = DI()-filter; if (isset($filter)) { $filter-check(); } } 默认直接可⽤的接⼜验证 基于很多同学对接⼜签名验证⽐较陌⽣，从框 推出签名验证以来，很长⼀段时间 内，很多同学对于如何实现⼀个接⼜签名依然不知如何下⼿。 为了给⼤家更好的便利性，我们提供了⼀个基本版的接⼜验证服务。 主要是基于md5进⾏的签名⽣成，这个只能作为⼀般性的参考。⼤家可以在此基础上 进⾏调整延伸。 默认情况下，可以去掉注释开启使⽤PhalApi_Filter_SimpleMD5进⾏接⼜验证，即： //签名验证服务 DI()-filter = PhalApi_Filter_SimpleMD5; 其验签的算法如下 （如注释所⽰）： 1、排除签名参数 （默认是sign） 2、将剩下的全部参数，按参数名字进⾏字典排序 3、将排序好的参数，全部⽤字 串拼接起来 4、进⾏md5运算 下⾯是两个调⽤⽰例，错误请求下 （即签名失败）： http://localhost/phalapi/public/demo/?service=Default.Indexusern 返回： { ret: 406, data: [], msg: ⾮法请求：签名错误 } 温馨提⽰： 签名错误情况下，可以查看⽇志获得正确的sign ，如： 2015-10-23 23:16:16 |DEBUG |Wrong Sign|{needSign:35321cc43cfc1e4 正常请求下 （带sign签名）： http://localhost/phalapi/public/demo/?service=Default.Indexusern 如果不想使⽤sign作为关键的签名参数，可以在注册时指定，如使⽤缩写s ： DI()-filter = new PhalApi_Filter_SimpleMD5(s); 1.22.2 微信签名⽰例 所以，如果我们需要实现签名验证，只需要简单的两步即可： 1、实现过滤器接⼜ PhalApi_Filter::check() ； 2、注册过滤器服务 DI()-filter ； 下⾯以⼤家熟悉的 微信验签 为例，进⾏⽰例说明。 (1)实现过滤器接⼜ PhalApi_Filter::check() 通常我们约定返回ret = 402表⽰验证失败，所以当签名失败时，我们可以返回ret = 402 以告知客户端签名不对。根据微信的检验signature的PHP⽰例代码，我们可以快速实 现⾃定义签名规则，如： //$ vim ./Demo/ ommon/SignFilter.php ?php class ommon_SignFilter implements PhalApi_Filter { public function check() { $signature = DI()-request-get(signature); $timestamp = DI()-request-get(timestamp); $nonce = DI()-request-get(nonce); $token = Your Token Here ...; $