Yii2框架RESTful API 格式化响应，授权认证和速率限制三部分详解
之前写过一篇Yii2框架制作RESTful风格的API快速入门教程，今天接着来探究一下Yii2RESTful的格式化响应，授权认证和速率限制三个部分
一、目录结构
先列出需要改动的文件。目录如下：
web ├─common │└─models │└User.php └─frontend ├─config │└main.php └─controllers └BookController.php
二、格式化响应
Yii2RESTful支持JSON和XML格式，如果想指定返回数据的格式，需要配置yii\filters\ContentNegotiator::formats属性。例如，要返回JSON格式，修改frontend/controllers/BookController.php，加入红色标记代码:
namespacefrontend\controllers;
useyii\rest\ActiveController;
useyii\web\Response;
classBookControllerextendsActiveController
{
public$modelClass='frontend\models\Book';
publicfunctionbehaviors(){
$behaviors=parent::behaviors();
$behaviors['contentNegotiator']['formats']['text/html']=Response::FORMAT_JSON;
return$behaviors;
}
}
返回XML格式：FORMAT_XML。formats属性的keys支持MIME类型，而values必须在yii\web\Response::formatters中支持被响应格式名称。
三、授权认证
RESTfulAPIs通常是无状态的，因此每个请求应附带某种授权凭证，即每个请求都发送一个accesstoken来认证用户。
1.配置user应用组件（不是必要的，但是推荐配置）：
设置yii\web\User::enableSession属性为false（因为RESTfulAPIs为无状态的，当yii\web\User::enableSession为false，请求中的用户认证状态就不能通过session来保持）
设置yii\web\User::loginUrl属性为null（显示一个HTTP403错误而不是跳转到登录界面）
具体方法，修改frontend/config/main.php，加入红色标记代码：
'components'=>[ ... 'user'=>[ 'identityClass'=>'common\models\User', 'enableAutoLogin'=>true, 'enableSession'=>false, 'loginUrl'=>null, ], ... ]
2.在控制器类中配置authenticator行为来指定使用哪种认证方式，修改frontend/controllers/BookController.php，加入红色标记代码：
namespacefrontend\controllers;
useyii\rest\ActiveController;
useyii\web\Response;
useyii\filters\auth\CompositeAuth;
useyii\filters\auth\QueryParamAuth;
classBookControllerextendsActiveController
{
public$modelClass='frontend\models\Book';
publicfunctionbehaviors(){
$behaviors=parent::behaviors();
$behaviors['authenticator']=[
'class'=>CompositeAuth::className(),
'authMethods'=>[
/*下面是三种验证access_token方式*/
//1.HTTP基本认证:accesstoken当作用户名发送，应用在accesstoken可安全存在API使用端的场景，例如，API使用端是运行在一台服务器上的程序。
//HttpBasicAuth::className(),
//2.OAuth2:使用者从认证服务器上获取基于OAuth2协议的accesstoken，然后通过HTTPBearerTokens发送到API服务器。
//HttpBearerAuth::className(),
//3.请求参数:accesstoken当作APIURL请求参数发送，这种方式应主要用于JSONP请求，因为它不能使用HTTP头来发送accesstoken
//http://localhost/user/index/index?access-token=123
QueryParamAuth::className(),
],
];
$behaviors['contentNegotiator']['formats']['text/html']=Response::FORMAT_JSON;
return$behaviors;
}
}
3.创建一张user表
------------------------------
--Tablestructureforuser
------------------------------
DROPTABLEIFEXISTS`user`;
CREATETABLE`user`(
`id`int(10)unsignedNOTNULLAUTO_INCREMENT,
`username`varchar(20)NOTNULLDEFAULT''COMMENT'用户名',
`password_hash`varchar(100)NOTNULLDEFAULT''COMMENT'密码',
`password_reset_token`varchar(50)NOTNULLDEFAULT''COMMENT'密码token',
`email`varchar(20)NOTNULLDEFAULT''COMMENT'邮箱',
`auth_key`varchar(50)NOTNULLDEFAULT'',
`status`tinyint(3)unsignedNOTNULLDEFAULT'0'COMMENT'状态',
`created_at`int(10)unsignedNOTNULLDEFAULT'0'COMMENT'创建时间',
`updated_at`int(10)unsignedNOTNULLDEFAULT'0'COMMENT'更新时间',
`access_token`varchar(50)NOTNULLDEFAULT''COMMENT'restful请求token',
`allowance`int(10)unsignedNOTNULLDEFAULT'0'COMMENT'restful剩余的允许的请求数',
`allowance_updated_at`int(10)unsignedNOTNULLDEFAULT'0'COMMENT'restful请求的UNIX时间戳数',
PRIMARYKEY(`id`),
UNIQUEKEY`username`(`username`),
UNIQUEKEY`access_token`(`access_token`)
)ENGINE=InnoDBDEFAULTCHARSET=utf8;
------------------------------
--Recordsofuser
------------------------------
INSERTINTO`user`VALUES('1','admin','$2y$13$1KWwchqGvxDeORDt5pRW.OJarf06PjNYxe2vEGVs7e5amD3wnEX.i','','','z3sM2KZvXdk6mNXXrz25D3JoZlGXoJMC','10','1478686493','1478686493','123','4','1478686493');
在common/models/User.php类中实现yii\web\IdentityInterface::findIdentityByAccessToken()方法。修改common/models/User.php，加入红色标记代码：：
publicstaticfunctionfindIdentityByAccessToken($token,$type=null)
{
//findIdentityByAccessToken()方法的实现是系统定义的
//例如，一个简单的场景，当每个用户只有一个accesstoken,可存储accesstoken到user表的access_token列中，方法可在User类中简单实现，如下所示：
returnstatic::findOne(['access_token'=>$token]);
//thrownewNotSupportedException('"findIdentityByAccessToken"isnotimplemented.');
}
四、速率限制
为防止滥用，可以增加速率限制。例如，限制每个用户的API的使用是在60秒内最多10次的API调用，如果一个用户同一个时间段内太多的请求被接收，将返回响应状态代码429(这意味着过多的请求)。
1.Yii会自动使用yii\filters\RateLimiter为yii\rest\Controller配置一个行为过滤器来执行速率限制检查。如果速度超出限制，该速率限制器将抛出一个yii\web\TooManyRequestsHttpException。
修改frontend/controllers/BookController.php，加入红色标记代码：
namespacefrontend\controllers;
useyii\rest\ActiveController;
useyii\web\Response;
useyii\filters\auth\CompositeAuth;
useyii\filters\auth\QueryParamAuth;
useyii\filters\RateLimiter;
classBookControllerextendsActiveController
{
public$modelClass='frontend\models\Book';
publicfunctionbehaviors(){
$behaviors=parent::behaviors();
$behaviors['rateLimiter']=[
'class'=>RateLimiter::className(),
'enableRateLimitHeaders'=>true,
];
$behaviors['authenticator']=[
'class'=>CompositeAuth::className(),
'authMethods'=>[
/*下面是三种验证access_token方式*/
//1.HTTP基本认证:accesstoken当作用户名发送，应用在accesstoken可安全存在API使用端的场景，例如，API使用端是运行在一台服务器上的程序。
//HttpBasicAuth::className(),
//2.OAuth2:使用者从认证服务器上获取基于OAuth2协议的accesstoken，然后通过HTTPBearerTokens发送到API服务器。
//HttpBearerAuth::className(),
//3.请求参数:accesstoken当作APIURL请求参数发送，这种方式应主要用于JSONP请求，因为它不能使用HTTP头来发送accesstoken
//http://localhost/user/index/index?access-token=123
QueryParamAuth::className(),
],
];
$behaviors['contentNegotiator']['formats']['text/html']=Response::FORMAT_JSON;
return$behaviors;
}
}
2.在user表中使用两列来记录容差和时间戳信息。为了提高性能，可以考虑使用缓存或NoSQL存储这些信息。
修改common/models/User.php，加入红色标记代码：
namespacecommon\models;
useYii;
useyii\base\NotSupportedException;
useyii\behaviors\TimestampBehavior;
useyii\db\ActiveRecord;
useyii\web\IdentityInterface;
useyii\filters\RateLimitInterface;
classUserextendsActiveRecordimplementsIdentityInterface,RateLimitInterface
{
....
//返回在单位时间内允许的请求的最大数目，例如，[10,60]表示在60秒内最多请求10次。
publicfunctiongetRateLimit($request,$action)
{
return[5,10];
}
//返回剩余的允许的请求数。
publicfunctionloadAllowance($request,$action)
{
return[$this->allowance,$this->allowance_updated_at];
}
//保存请求时的UNIX时间戳。
publicfunctionsaveAllowance($request,$action,$allowance,$timestamp)
{
$this->allowance=$allowance;
$this->allowance_updated_at=$timestamp;
$this->save();
}
....
publicstaticfunctionfindIdentityByAccessToken($token,$type=null)
{
//thrownewNotSupportedException('"findIdentityByAccessToken"isnotimplemented.');
//findIdentityByAccessToken()方法的实现是系统定义的
//例如，一个简单的场景，当每个用户只有一个accesstoken,可存储accesstoken到user表的access_token列中，方法可在User类中简单实现，如下所示：
returnstatic::findOne(['access_token'=>$token]);
}
....
}
以上所述是小编给大家介绍的Yii2框架RESTfulAPI格式化响应，授权认证和速率限制三部分详解，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对毛票票网站的支持！