如何使用PHP 的header() 函數配合Token 實現API 的權限控制？

M66 2025-05-17

在開發API時，安全性是至關重要的。為了確保只有經過授權的用戶可以訪問特定的資源，我們通常使用Token（令牌）機制進行身份驗證和權限控制。在PHP中， header()函數通常用於發送HTTP頭部信息，可以用於處理Token驗證。本文將介紹如何利用PHP的header()函數配合Token進行API的權限控制。

1. 什麼是Token？

Token 是一種用於認證和授權的安全憑證。常見的Token類型包括JWT（JSON Web Token）和OAuth Token。 Token 通常是在用戶登錄後由服務器生成，並由客戶端存儲（例如在瀏覽器的Local Storage或者HTTP請求頭中），用於在後續的API請求中進行身份驗證。

2. API權限控制的基本流程

使用Token進行API權限控制的基本流程如下：

用戶向API發送請求並附帶Token。
服務器接收到請求後，使用header()函數讀取請求頭中的Token。
服務器驗證Token的合法性。如果驗證通過，則允許訪問相關資源；如果驗證失敗，則返回權限拒絕的響應。

3. 使用header()函數獲取請求頭中的Token

在PHP中，可以通過$_SERVER或getallheaders()函數來獲取HTTP請求頭。假設我們希望從請求頭中獲取名為Authorization的Token，以下是一個簡單的例子：

 <?php
// 獲取Authorization頭中的Token
function getAuthToken() {
    if (isset($_SERVER['HTTP_AUTHORIZATION'])) {
        return $_SERVER['HTTP_AUTHORIZATION'];
    }
    return null;
}
?>

getAuthToken()函數檢查Authorization頭是否存在，並返回Token。如果不存在，則返回null 。

4. 驗證Token的有效性

在驗證Token時，通常需要根據Token的內容或者簽名進行驗證。這裡我們假設使用JWT（JSON Web Token）進行Token驗證。以下是一個簡化的驗證過程：

 <?php
// 解析和驗證JWT Token
function validateToken($token) {
    $secret_key = "your-secret-key";  // 預設的密鑰，用於驗證Token

    // 這裡使用了一個簡單的JWT解析和驗證过程，實際上可以使用現成的庫如 Firebase JWT
    // 這裡只做一個簡化的示例
    try {
        // 假設Token格式是 "header.payload.signature"
        $parts = explode('.', $token);
        if (count($parts) !== 3) {
            throw new Exception("Token格式錯誤");
        }

        // 模擬驗證Token（實際應用中可以通過解密Token並驗證簽名）
        $payload = base64_decode($parts[1]);
        $payload_data = json_decode($payload, true);
        if (!$payload_data || !isset($payload_data['exp']) || $payload_data['exp'] < time()) {
            throw new Exception("Token已過期");
        }

        // Token有效
        return true;
    } catch (Exception $e) {
        // 發生錯誤時返回false
        return false;
    }
}
?>

在上面的代碼中，我們通過拆解JWT Token並驗證其中的payload部分來判斷Token是否有效。實際生產環境中，建議使用成熟的JWT庫來處理Token驗證。

5. 利用header()函數發送響應

如果Token驗證失敗，我們可以使用header()函數來返回相應的HTTP狀態碼，如401（未授權）或者403（禁止訪問）。例如：

 <?php
// 返回401未授權響應
function sendUnauthorizedResponse() {
    header("HTTP/1.1 401 Unauthorized");
    header("Content-Type: application/json");
    echo json_encode(["error" => "未授權訪問，請提供有效的Token"]);
    exit();
}
?>

在Token驗證失敗時，我們調用sendUnauthorizedResponse()函數發送一個401未授權的響應，並提供錯誤信息。

6. 完整示例：API權限控制

結合前面的函數，以下是一個完整的示例，展示瞭如何在PHP中實現API權限控制：

 <?php
// 獲取Token
$token = getAuthToken();

// 如果沒有提供Token，直接返回401未授權響應
if (!$token) {
    sendUnauthorizedResponse();
}

// 驗證Token的有效性
if (!validateToken($token)) {
    sendUnauthorizedResponse();
}

// 如果Token有效，繼續處理API請求
echo json_encode(["message" => "API請求成功，权限驗證通过"]);
?>

在這個完整的示例中，首先獲取請求中的Token，如果Token為空或者無效，則返回401未授權響應。如果Token有效，則繼續執行API的業務邏輯。

7. 總結

通過PHP的header()函數結合Token，我們能夠方便地實現API的權限控制。基本的工作流程包括：

從請求頭中提取Token。
驗證Token的有效性。
根據驗證結果決定是否允許訪問API。

這種方法能夠有效地保護API，確保只有經過授權的用戶才能訪問敏感數據或資源。

相關標籤:
header API

header