yii2 resetful 授权验证详解

我们回过头来看一下，当我们在UserController的login操作中调用LoginForm的login操作后都发生了什么

1、调用LoginForm的login方法

2、调用validate方法，随后对rules进行校验

3、rules校验中调用validatePassword方法，对用户名和密码进行校验

4、validatePassword方法校验的过程中调用LoginForm的getUser方法，通过commonmodelsUser类的findByUsername获取用户，找不到或者commonmodelsUser的validatePassword对密码校验失败则返回error

5、触发LoginForm::GENERATE_API_TOKEN事件，调用LoginForm的onGenerateApiToken方法,通过commonmodelsUser的apiTokenIsValid校验token的有效性，如果无效，则调用User的generateApiToken方法重新生成

注意commonmodelsUser类必须是用户的认证类.

下面补充本节增加的commonmodelsUser的相关方法

/**
 * 生成 api_token
 */
public function generateApiToken()
{
 $this->api_token = Yii::$app->security->generateRandomString() . '_' . time();
}

/**
 * 校验api_token是否有效
 */
public static function apiTokenIsValid($token)
{
 if (empty($token)) {
  return false;
 }

 $timestamp = (int) substr($token, strrpos($token, '_') + 1);
 $expire = Yii::$app->params['user.apiTokenExpire'];
 return $timestamp + $expire >= time();
}

继续补充apiTokenIsValid方法中涉及到的token有效期，在apiconfigparams.php文件内增加即可

<?php
return [
 // ...
 // token 有效期默认1天
 'user.apiTokenExpire' => 1*24*3600,
];

到这里呢，客户端登录 服务端返回token给客户端就完成了。

按照文中一开始的分析，客户端应该把获取到的token存到本地，比如cookie中。以后再需要token校验的接口访问中，从本地读取比如从cookie中读取并访问接口即可。

根据token请求用户的认证操作

假设我们已经把获取到的token保存起来了，我们再以访问用户信息的接口为例。

yiifiltersauthQueryParamAuth类认定的token参数是 access-token，我们可以在行为中修改下

public function behaviors() 
{
 return ArrayHelper::merge (parent::behaviors(), [ 
   'authenticator' => [ 
    'class' => QueryParamAuth::className(),
    'tokenParam' => 'token',
    'optional' => [
     'login',
     'signup-test'
    ],
   ] 
 ] );
}

这里将默认的access-token修改为token。

我们在配置文件的urlManager组件中增加对userProfile操作

'extraPatterns' => [
 'POST login' => 'login',
 'GET signup-test' => 'signup-test',
 'GET user-profile' => 'user-profile',
]

我们用postman模拟请求访问下 /v1/users/user-profile?token=apeuT9dAgH072qbfrtihfzL6qDe_l4qz_1479626145发现，抛出了一个异常

"findIdentityByAccessToken" is not implemented.

这是怎么回事呢？