8

RESTfulコントローラープロパティを使用して、laravelでRESTful APIを構築しています。これまでのところ、ほとんどの作業を行うことができました。現在発生している問題は認証です。「user_id」と「署名」を使用してAmazonのアプローチを使用しようとしています。PHP の「hash_hmac()」を使用して署名を作成しています。

これはAPIコントローラーの例です

class Api_Tasks_Controller extends Api_Controller {

    public $restful = true;

    public function get_index($id = null) {

        $this->verfiy_request();

        if(!is_null($id))
        {
            return Response::json(array("tasks"=>"just one"),200);
        }
        else
        {
            return Response::json(array("tasks"=>"everthing"),200);
        }
    }


}

これはAPIコントローラークラスです

class Api_Controller extends Controller {

    public function verify_request() {

        //user id
        $user_id = (int) Input::get('user_id');
        //signature
        $sig = Input::get('sig');

        //Lookup user
        $user = Sentry::user($user_id);
        if($user) {
            //user email
            $email = $user->email;
            //user api key
            $api_key = $user->metadata['api_key'];
            //recreate signature
            $_sig = hash_hmac("sha256",$email.$user_id,$api_key);
            if($_sig === $sig) {
                return Response::json(array("message"=>"Request Ok"),200);
            }
            else {
                return Response::json(array("message"=>"Request Bad"),400);
            }
        }
        else {

            return Response::json(array("message"=>"Request not authorized"),401);
        }
    }

http://api.xyz.com/v1/tasks/1?user_id=1&sig=41295da38eadfa56189b041a022c6ae0fdcbcd5e65c83f0e9aa0e6fbae666cd8署名を無効にしてリクエストを無効にする必要がある user_id パラメータの値を変更しても、取得リクエストを行うと常に成功メッセージが返されます。私のverfiy_requestメソッドが実行されていないようです。私を助けてください

4

2 に答える 2

9

私も最近これを調査しており、フィルターを使用することもお勧めします。次のように機能します。

class Api_Tasks_Controller extends Base_Controller {

    public $restful = true;

    function __construct() {
        // Check if user is authorized
        $this->filter('before', 'api_checkauth');
    }

    // rest of the class ....

}

そして、routes.php ファイルで:

Route::filter('api_checkauth', function()
{
  //user id
  $user_id = (int) Input::get('user_id');

  //signature
  $sig = Input::get('sig');

  try {
    //Lookup user
    $user = Sentry::user($user_id);

    if($user) {
      //user email
      $email = $user->email;
      //user api key
      $api_key = $user->metadata['api_key'];
      //recreate signature
      $_sig = hash_hmac("sha256",$email.$user_id,$api_key);
      if($_sig === $sig) {
          return Response::json(array("message"=>"Request Ok"),200);
      }
      else {
          return Response::json(array("message"=>"Request Bad"),400);
      }
    }
    else {
      return Response::json(array("message"=>"Request not authorized"),401);
    }
  }
  catch (Sentry\SentryException $e) {
    $errors = $e->getMessage(); // catch errors such as user not existing or bad fields
    return Response::json(array("message"=>$errors),404);
  }

});

また、Sentry を紹介してくれてありがとう :-)

于 2013-01-22T21:10:18.970 に答える
2

簡単な推測です。私は試していませんが、verify_request を呼び出す前に return ステートメントを追加してみてください。

そして、APIロジックとAPI認証をさらに分離できるフィルターを検討する必要があります;-)

于 2013-01-22T14:46:42.127 に答える