codeigniter - Phil Sturgeon 拥有 API key ，最好的方法是什么？

Question

我尝试使用 Phil Sturgeon (Codeigniter RestServer) 的出色工作来为我的服务提供服务。

我计划使用此工作流程:

client --> client connect to my service with credentials 
server <-- check credentials in db, generate api-key for this user, and send it
client --> send request to get personal infos with new api-key in header
server <-- retrieve infos for this user from api-key, send infos
client --> another request with new api-key in header
server <-- check if api-key lifetime < 15m, if ok execute request and update lifetime else return timeout error
...

任何人都可以帮助我使用 RestServer X-API-KEY 来完成此操作，或者我可以自己进行 API-KEY 管理？谢谢。

Answer 1

您不应该使用库中使用的 X-API-KEY 执行此操作。该 key 的用途是对您已列入白名单的应用程序进行身份验证以访问您的 API。

就您而言，您想要做的是让您的应用程序生成身份验证 token 并将其返回给客户端。然后，客户端应该使用身份验证 token 来发出请求。

X-API-KEY 应用于验证请求是否来自白名单“客户端”。流程如下所示:

客户端 --> 客户端使用凭据和 x-api-key 连接到您的服务
服务器 <-- 验证x-api-key，根据数据库检查凭据，为此用户生成身份验证 token ，并将其在响应中发回
客户端 --> 发送请求以获取带有身份验证 token 的个人信息
服务器 <-- 检查身份验证 token 的有效性，检索该用户的信息并返回响应客户端 --> 带有身份验证 token 的另一个请求
服务器 <-- 检查身份验证 token 是否仍然有效(检查到期时间等)并返回响应