API開發之介面安全（三） sign有效時間

之前生成的sign和校驗sign我們已經完全掌握了、但是僅僅憑藉這樣的sign是無法滿足我們的需求的，如果乙個黑客通過抓包抓到你的資料他可以去修改你的header為這樣的 body為那樣的也是可以通過sign校驗的那麼我們怎麼解決呢下面將詳細的為大家解說

首先想到這樣的乙個問題我麼首先應當考慮到的就是sign的時效性問題如果我們的sign只有十秒的時間那就算抓包他也只能在這十秒裡使用那麼有了這個想法之後我們是否應當在生成sign之前加入 time引數呢這個time具體怎麼加入呢？

我們先建立乙個 time 類來生成我們sign所需要的time

<?php/**
* created by phpstorm.
* user: administrator
* date: 2019/8/16
* time: 10:20 */
/***
* 生成以時間戳拼接的13位字串
* class time */
class
time
}

建立好我們時間生成類之後我們需要在生成sign的時候加入 time 引數

'time' => time::get13timestamp(),

然後生成sign

iauth::setsign($data)

生成之後我們就會獲得到加入 time 引數之後返回的 sign了

下來我們拿到這個sign之後進行校驗

我們需要修改下我們的校驗方法 checksignpass 使time引數參與進來

新增判斷

#
#乘除1000增加唯一性
return
false
; }

return
[ 'aeskey' => 'asdasd4wq5646', #
aes秘鑰 服務端必須和客戶端保持一致
'method' => 'aes-128-ecb',
'iv' => '',
'options' => '0',
'ios',
'android',],

這樣我們就成功的將時間加入到了 sign 中但是這樣的話還是不能保證我們資料的安全性我們需要進一步的是sign有更高一級的安全性（唯一性）才行那麼怎麼做呢下章我們繼續解刨sign