Php 保护无会话RESTful API端点的安全
我已经为下面的一个项目创建了一个简单的RESTful API。现在，我已经阅读了几十个关于堆栈溢出的类似问题，但我似乎找不到安全问题的答案 简而言之，我的要求如下：Php 保护无会话RESTful API端点的安全,php,api,rest,curl,restful-authentication,Php,Api,Rest,Curl,Restful Authentication,我已经为下面的一个项目创建了一个简单的RESTful API。现在，我已经阅读了几十个关于堆栈溢出的类似问题，但我似乎找不到安全问题的答案 简而言之，我的要求如下： 客户端有一个公共API密钥（纯文本，任何嗅探网络流量或正确检查代码源的人都可以访问） 客户端使用公共API密钥向服务器发送请求 服务器有一个秘密的API密钥（除了开发人员之外，对任何人都是秘密的） 服务器创建一个HMAC-SHA1散列，该散列由客户端的请求数据和机密API密钥组成 服务器向API服务器发送一个与客户端请求相同的请求，
$\u服务器['HTTP\u REFERER']$\u服务器['REMOTE\u ADDR']$\u服务器['HTTP\u REFERER']更新4：根据这些帖子：而且，假装
$\u服务器['REMOTE\u ADDR']我发现的阻止其他脚本使用公共API密钥并向服务器端HMAC哈希脚本发送请求的解决方案是将原始请求者的身份与请求一起发送。我正在使用
$\u SERVER['REMOTE\u ADDR']/* $this as a class that handles requests */
// Build hash and include timestamp
$this->vars['timestamp'] = time();
$this->vars['hash'] = hash_hmac('sha1', http_build_query($this->vars).$this->vars['token'], API_SECRET);
// Send request to API
curl_setopt_array($this->curl, array(
CURLOPT_RETURNTRANSFER => 1,
CURLOPT_URL => $url,
CURLOPT_POST => $this->method == 'post' ? 1 : NULL,
CURLOPT_POSTFIELDS => $this->method == 'post' ? $this->vars : NULL,
CURLOPT_CONNECTTIMEOUT => 15,
CURLOPT_TIMEOUT => 15,
CURLOPT_REFERER => $_SERVER['REMOTE_ADDR'], // Referer here!
CURLOPT_MAXREDIRS => 3,
CURLOPT_HTTPGET => $this->method == 'get' ? true : false
));
一旦发送，API不仅会检查数据库中的机密API密钥，还会检查
$\u服务器['HTTP\u REFERER']