php - Web 服务身份验证 - PHP

Question

我正在用 PHP 创建一个简单的网络服务来为我们的一些内部应用程序提供数据。

我的问题是关于身份验证/安全性，实际 Web 服务的实现不是问题。

为了安全起见，我计划为每个将使用该服务的应用程序提供一个唯一的、定期的静态身份验证代码，它们在调用该服务时使用该代码。服务代码然后检查内部列表以查看所使用的身份验证代码是否有效，如果有效，则提供对数据的访问。

例如

xxx.xxx.com/ws.php?op=getproductnameslist&authcode=329cj32x21xdd332

服务通过 HTTPS 提供，因此实际数据的传输应该加密。

我想就安全问题以及是否有更好的方法来对上述内容发表一些评论。

Answer 1

保护 WebService 并不像通过 URL 传递 get 参数那么简单。获取参数记录在 HTTP 服务器日志中，可以轻松复制/粘贴和操作。

WebService 安全不是一个简单的问题，尝试使用众所周知的解决方案，我会选择 OAuth。 PHP 在这里有一个很好的实现 http://php.net/manual/es/book.oauth.php

您还可以查看有关 Web 服务安全性的帖子 http://www.stormpath.com/blog/secure-your-rest-api-right-way