OAuth en PHP : créer un système CMS sécurisé

OAuth en PHP : Construire un système CMS sécurisé

    在现代的互联网应用中，用户的身份验证和授权是至关重要的。OAuth (开放授权) 是一种用于身份验证和授权的开放标准，它允许用户授权第三方应用访问其资源，而不需要直接提供用户名和密码。在本文中，我们将探讨如何使用PHP中的OAuth来构建一个安全的CMS系统，并提供一些具体的代码示例。

1. Maîtrisez les concepts de base

Avant de commencer, comprenons quelques concepts de base d'OAuth.

• Propriétaire de la ressource : le propriétaire de la ressource, généralement l'utilisateur.
• Client : Une application tierce qui souhaite accéder aux ressources du propriétaire de la ressource.
• Serveur d'autorisation : responsable de la vérification de l'identité de l'utilisateur et de l'émission des jetons d'accès.
• Resource Server : un serveur qui stocke les ressources utilisateur.

2. Installer la bibliothèque OAuth

Il existe de nombreuses bibliothèques OAuth disponibles pour PHP et nous pouvons les utiliser pour simplifier la mise en œuvre d'OAuth. Dans cet article, nous utiliserons la bibliothèque phpleague/oauth2-client.

Utilisez Composer pour l'installation des dépendances.

composer require league/oauth2-client

3. L'enregistrement doit être utilisé pour obtenir l'ID client et la clé

Avant d'utiliser OAuth, nous devons enregistrer notre application sur le serveur d'autorisation pour obtenir l'ID client et la clé. Les étapes exactes varient en fonction du fournisseur OAuth. En prenant OAuth 2.0 comme exemple, nous pouvons utiliser GitHub comme serveur d'autorisation.

4. Implémentation du processus OAuth

Ensuite, nous utiliserons un exemple spécifique pour démontrer comment implémenter le processus OAuth.

Tout d'abord, créez un fichier index.php et ajoutez le code suivant :

<?php

require_once 'vendor/autoload.php';

$provider = new LeagueOAuth2ClientProviderGithub([
    'clientId'          => 'YOUR_CLIENT_ID',
    'clientSecret'      => 'YOUR_CLIENT_SECRET',
    'redirectUri'       => 'http://localhost/callback.php',
]);

session_start();

if (!isset($_GET['code'])) {
    $authUrl = $provider->getAuthorizationUrl();
    $_SESSION['oauth2state'] = $provider->getState();
    header('Location: ' . $authUrl);
    exit;
} elseif (empty($_GET['state']) || ($_GET['state'] !== $_SESSION['oauth2state'])) {
    unset($_SESSION['oauth2state']);
    exit('Invalid state');
} else {
    $token = $provider->getAccessToken('authorization_code', [
        'code' => $_GET['code']
    ]);

    // 使用访问令牌进行API调用
    // ...
}

Dans le code ci-dessus, nous introduisons d'abord les classes requises et utilisons l'ID client, la clé et l'URL de redirection que nous avons obtenus lors de l'enregistrement de l'application. Initialisez le fournisseur GitHub. .

Ensuite, nous utilisons la méthode getAuthorizationUrl pour obtenir l'URL d'autorisation et stocker l'état OAuth dans la session. getAuthorizationUrl方法获取授权URL，并将OAuth状态存储在会话中。

如果URL中没有code

<?php

require_once 'vendor/autoload.php';

$provider = new LeagueOAuth2ClientProviderGithub([
    'clientId'          => 'YOUR_CLIENT_ID',
    'clientSecret'      => 'YOUR_CLIENT_SECRET',
    'redirectUri'       => 'http://localhost/callback.php',
]);

session_start();

if (!isset($_GET['code'])) {
    exit('Authorization code not found');
} else {
    try {
        $token = $provider->getAccessToken('authorization_code', [
            'code' => $_GET['code'],
        ]);
    } catch (LeagueOAuth2ClientProviderExceptionIdentityProviderException $e) {
        exit('Failed to obtain access token');
    }

    // 使用访问令牌进行API调用
    // ...
}

Utilisez le jeton d'accès pour effectuer des appels API

<?php

// 使用访问令牌进行API调用
$response = $provider->getAuthenticatedRequest(
    'GET',
    'https://api.github.com/user',
    $token
);

$httpClient = $provider->getHttpClient();
$user = json_decode($httpClient->send($response)->getBody(), true);

echo 'Hello, ' . $user['login'];

6. Résumé

• https://oauth.net/
• https://github.com/thephpleague/oauth2-client

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!