###1、什么是RESTful API设计规范？
RESTful API是一整套，面向API开发的接口项目设计范本与标准，共包含以下15项内容：
```
1、通讯协议
2、域名解析方式
3、环境管理
4、API版本管理
5、路由设计
6、HTTP动词
7、信息筛选
8、数据交互类型
9、返回值格式、状态码与提示内容
10、返回结果
11、数据加解密
12、接口权限认证
13、sign签名
14、使用access_token开放接口有效期
15、Hypermedia API
```

####A、通讯协议
在API接口开发中，我们一般不会选择使用HTTP协议，而是会优先选择HTTPS安全传输协议，

HTTPS具备安全传输证书加密，可以避免在数据交互的过程中，被黑客恶意篡改的风险。

同时，现在大多数HTTPS证书的发行商都支持免费申请，有效期为一年，一年后再重新申请即可。

####B、域名解析方式
正常情况下，我们都应该将API接口所用的域名解析在专有的域名下，例如：

`https://api.junphp.com`

如果确认API接口的业务非常简单，同时不会有进一步的扩展，可以考虑放在主域名下。

`https://junphp.com/api/`

####C、环境管理
在实际开发中，不管是渠道方(提供对外接口)，还是使用方(使用对外接口)，都应该搭建以下三种代码管理环境：
```
1、生产环境(正式环境)
2、测试环境
3、准生产环境(试用环境)
```
当我们接口需要升级时，应该先在测试环境中进行开发，

开发完成并内部测试通过后，

将其代码更新到准生产环境中，交给使用方进行版本对接，

当使用方对接完成后，并双方确认测试通过，两者同时发布到正式环境中。

所以基于以上流程，我们可以理解为：
```
1、生产环境，正式发布给客户使用的代码和数据
2、测试环境，内部开发时使用的代码和数据
3、准生产环境，交给使用方对接新版本时测试用的代码和数据
```
但实际上还有一种情况，类似于微信公众平台，他们这类型的对外接口就比较霸道， 他们只有2种代码环境：
```
1、生产环境(正式环境)
2、测试环境
```
当他们接口需要升级时，会先在测试环境中进行开发，同时确认上线日期，公布正式环境的更新日期，还有更新内容。

日期一到后，他们就会直接发布到正式环境，不会留给使用者对接新版本的时间。

这样的升级流程少了一个准生产环境。

所以具体的环境选择，还是需要结合接口所需要面对的用户群，

如果是像微信这种家大业大的公司，当然可以霸道一些，

如果是中小公司，又乃至于一些上市公司，还是应该遵守3种代码环境的管理方式，这样比较人性化。

环境对应的URL设计可以参考如下：
```
1、测试环境：
https://api.junphp.com/test/
2、生产环境：
https://api.junphp.com/formal/
3、准生产环境：
https://api.junphp.com/trial/
```

####D、API版本管理
API版本管理主要分为两个部分：
```
1、请求路径中标识
2、返回值中标识
```
版本号的命名方式如下：
```
v(大版本).(中版本).(小版本)

大版本从`1`开始，
中版本从`0`开始，
小版本从`1`开始，有奇偶数之分，奇数为准生产环境版本，偶数为生成环境版本。
```
下面以API接口的第一个正式版本为例，版本号应该为：
```
v1.0.2
```
返回值中标识：

完整的版本号应该添加在接口的回调内容，回调给使用方。

请求路径中标识：

一般API接口的请求URL中，我们都会使用大版本号来进行项目的版本管理，例如：
```
https://api.junphp.com/v1/
```
这样的话，在API的请求内容中，使用方需要带上完整的版本号，然后渠道方再使用版本对应的代码进行逻辑处理。

不过正常来说这一步是没必要存在的，因为正式环境是不允许回退版本，只能使用最新版本的接口。

具体还是要看渠道方是否支持使用API的历史版本。

####E、路由设计
一条路由，是表示API的具体访问路径。

在RESTful架构中，每一条路由代表一种资源（resource），所以路由中不能有动词，只能有名词，

而且所用的名词往往与数据库的表名对应。

一般来说，数据库中的表都是同种记录的"集合"，所以API中的名词也应该使用复数。

举例来说，有一个API提供动物园（zoo）的信息，还包括各种动物和雇员的信息，则它的路径应该设计成下面这样。
```
https://api.junphp.com/v1/zoos
https://api.junphp.com/v1/animals
https://api.junphp.com/v1/employees
```
注意，如果末尾不存在其他参数，请不要带`/`符号结尾。

####F、HTTP动词
之前我们所学的正确情况下，一般只有POST和GET两种数据提交方式，

但在API开发中，我们一般会多用到5种数据提交方式，

这5种数据提交方式，严格来说我们可以看做是一种行为。

常用的HTTP动词有下面五个（括号里是对应的SQL命令）。
```
1、GET（SELECT）：从服务器取出资源（一项或多项）。
2、POST（CREATE）：在服务器新建一个资源。
3、PUT（UPDATE）：在服务器更新资源（客户端提供改变后的完整资源，完整修改）。
4、PATCH（UPDATE）：在服务器更新资源（客户端提供改变的属性，局部修改）。
5、DELETE（DELETE）：从服务器删除资源。
```
还有两个不常用的HTTP动词（基本没人用）。
```
6、HEAD：获取资源的元数据。
7、OPTIONS：获取信息，关于资源的哪些属性是客户端可以改变的。
```
下面是一些路由例子。
```
GET /zoos：列出所有动物园
POST /zoos：新建一个动物园
GET /zoos/ID：获取某个指定动物园的信息
PUT /zoos/ID：更新某个指定动物园的信息（提供该动物园的全部信息）
PATCH /zoos/ID：更新某个指定动物园的信息（提供该动物园的部分信息）
DELETE /zoos/ID：删除某个动物园
GET /zoos/ID/animals：列出某个指定动物园的所有动物
DELETE /zoos/ID/animals/ID：删除某个指定动物园的指定动物
```
很多学生这时候可能会有疑问，那我们只会用表单提交GET和POST请求啊，

其他的我们不会啊，没关系，如果使用其他5种提交类型，在之后的课件中会有教，我们先一步步来。

####G、为什么要使用多种提交方式？
原则上，我们只需要使用GET和POST请求就能满足所有API接口的要求，

但这样我们URL路由的设计就必须改成：
```
https://api.junphp.com/v1/order/delete
https://api.junphp.com/v1/order/update
```
这样的URL明显不够美观，同时含义也不明确，将行为定义到了URI中。

如果我们是将`delete`，`update`等优化到了请求方式中，那么统一请求的URL就是：
```
https://api.junphp.com/v1/orde
```
请求类型为`DELETE`时，就是删除order表的某些信息。

请求类型为`PUT`时，就是更新order表的某些信息。

####H、信息筛选
有时在GET动词中，我们需要`SELECT`一个表的数据，但我们往往不可能将整张表的所有全部返回，

API接口应该提供参数选项，让使用方可以过滤返回结果。

下面以数组提交参数为例(类型`$_POST`)，解释一些常见的参数。
```php
[
    'limit'  => 10,    // 指定返回记录的数量
    'offset' => 10,    // 指定返回记录的开始位置。
    'page'   => 2,     // 指定第几页
    'order'  => 'ASC', // 排序方式
];
```
注意：在之前我们有举例过，使用类似于这样的URL路由地址：
```
https://api.junphp.com/v1/zoos/ID
```
实际上这样是不合理的，因为这样的传参属于GET请求类型，

如果当我们使用GET请求方法，而URL又带有参数，那含义上是不是有所冲突的了呢。

所以正常情况下，我们都应该使用
```
https://api.junphp.com/v1/zoos
```
这种URL路由设计，然后使用对应的HTTP动词，并把ID等参数放在提交的参数中。

####I、数据交互类型
API接口中，数据交互类型通常指两个方面：
```
1、请求时的提交参数的数据格式
2、回调时，回调内容的参数格式
```
API开发中，数据交互类型主要也有两种：
```
1、Json
2、Xml
```
假设：
当我们接口回调使用JSON格式时，那么提交的数据类型应该是一个数组，类似`$_POST`。

当我们接口回调使用XML格式时，那么提交的数据类型应该同是XML。

注意：一个项目中，所有API接口都应该使用一套相同的数据交互类型，请勿将Json和Xml混合使用。

一般情况下进行API开发，老师推荐都使用Json格式。

####J、返回值格式、状态码与提示内容
在规范的API开发中，返回值一般都是有统一并固定的内容返回格式，

下面我们以JSON数据类型回调内容为例，回调内容一般会存在以下三个参数：
```
1、code：状态码
2、msg：回调描述
3、data：回调内容
```
在回调内容中，一般情况下使用方是没办法识别渠道方是处理成功，处理成功时回调了那些内容回来，

如果回调识别，那对应的说明原因又是什么。所以以上三个节点成功充当别解决了上述问题。

通常情况下，我们对code状态码有着严格的要求，并且不能私自改变，

下面一些状态码以及其说明：

|状态码|	说明|
|:--:|:--:|
|-1	|系统繁忙|
|00	|请求成功|
|01	|请求失败|
|404	|请求的接口不存在|
|500	|服务器发生异常|
|40001	|获取access_token时Secret错误，或者access_token无效|
|40002	|sign签名错误|
|40003	|渠道ID身份错误|
|4XXXX	|自定义扩展的特殊错误说明|

在实际开发中，很多情况下，我们有一些错误提示是不能使用01进行回调的，

因为这样会导致使用方无法识别你的错误级别，所以我们需要对错误级别进行分类：
```
1、正常的业务错误可以使用01状态码，
2、业务处理以外的错误提示，可以使用自定义错误状态码，同时一个提示语句，对应一个状态码，不能重复使用。
```
同时需要注意的是，状态码在回调内容中，必须是字符串的格式，例如：
```php
{
    'code' => '00',
    'msg'  => '请求成功',
    'data' => '回调内容，我这里就不写了',
}
```
因为如果使用数字类型，00会被编程语言认为是`0`，而`01`会被认为是`1`，所以这点需要特别注意。

还有具体其他状态码，我们可以参考微信公众号开发的文档，来进行借鉴学习：`https://mp.weixin.qq.com/wiki?t=resource/res_main&id=mp1433747234`。

####K、返回结果
返回结果，一般是针对回调内容中的data节点，同时对应不同的请求动词，

服务器向用户返回的结果应该符合以下规范：
```
GET /zoos：列出所有动物园，应该至少返回一个二维数组的结构
GET /zoos/ID：获取某个指定动物园的信息，应该至少返回一个一维数组的结构
POST /zoos：新建一个动物园，应该至少返回一个一维数组的结构
PUT /zoos/ID：更新某个指定动物园的信息（提供该动物园的全部信息），可以返回空内容，或更新后的记录的完整信息
PATCH /zoos/ID：更新某个指定动物园的信息（提供该动物园的部分信息），可以返回空内容，或更新后的记录的局部信息
DELETE /zoos/ID：删除某个动物园，可以返回空内容，或剩下的记录总条余数
```

####L、数据加解密
在API开发中，数据加解密是保证接口安全最重要，也是最后的一道屏障。

PHP数据加解密又可以分为可逆转与不可逆转两种类型：
```
可逆转加解密，一般用于对提交的数据进行加密。
不可逆转加解密，一般用于对sign签名进行加密生成，用于确保该次接口的请求数据是一致的，中途没有被黑客篡改过。
```
使用可逆转的加解密方式对提交数据进行加密，主要是为了数据的安全，

只要双方都遵守加解密的流程跟关键秘钥，就不会存在被黑客恶意破解的风险，

有点类似于卧底暗号一样，你不知道我暗号的意思，又如何能够获得最终的正确信息。

接下来，我们对一些加密方式进行初步学习。

#####L-1、不可逆加密：md5()
`md5()`加密，基本所有后端编程语言中都支持， 同时该加密方式，有`16字符二进制` 和 `32字符十六进制` 之分，所以使用的时候需要特别注意这一点。

其使用案例如下：
```php
<?php
# 需要加密的字符串
$str= '我是小黄牛';
# 16字符串二进制加密
echo md5($str, true).'<br/>';
# 32字符串十六进制加密
echo md5($str, false);
```
注意：`md5()`函数默认是使用的`32字符十六进制`，

同时，如果我们使用16字符二进制将加密内容输出到浏览器中，

是会出现乱码的情况，同时也不能保存到文件或数据库中。

如果我们硬是要获得`md5()` 16位的加密字符串，可以自己封装一个函数：
```php
<?php
# 封装函数
function md5_16($str) {
    return substr(md5($str), 8, 16);
}
# 需要加密的字符串
$str= '我是小黄牛';
# 16字符串
echo md5_16($str);
```
实际上，当我们说不可逆转的加密，实际上是正确的，但如果我们说不可破解，就是错误的。

因为不管是任何加密方式，实际上都是可以通过数据碰撞的方式进行暴力破解，只是其破解的复杂程度有所区别。

例如，破解方他有一个强大的亿万级数据库，里面保存这无数条`md5()`后的加密字符串，

然后当他拿到你的加密字符串，进行数据库查询时，是否他只有对比到你的加密字符串，他就能知道加密前的字符串内容。

而查询的次数就是复杂程度，我们一般称这种破解方法为数据碰撞，这样的数据库称之为彩虹表。

为了应对这样的暴力破解，我们只有一种解决方法，那就是为需要加密的字符串进行数据加盐。

记住，只有在使用不可逆转的加解密函数时，才需要对数据进行加盐。
```php
<?php
# 需要加密的字符串
$str = '我是小黄牛';
# 盐值，一般都用时间戳或复杂的随机数
$salt = time();
# 加密
echo md5($str.$salt);
```
这时候有的同学可能会有疑惑，那接口渠道方怎么跟使用方的加密字符串进行对比？

其实很简单，使用方只需要把加密前的字符串与盐值一起传给渠道方，渠道方再进行相同的`md5()`加密后，即可进行对比。

#####L-2、不可逆加密：sha1()
`sha1()`与`md5()`的加密原理相差不多，
它主要返回的是`20字符二进制` 和 `40字符十六进制`。

默认是使用`40字符十六进制`。

同时，使用二进制加密时，也一样不能保存到数据库、文本文件中，也不能输出到浏览器。
```php
<?php
# 需要加密的字符串
$str = '我是小黄牛';
# 20位二进制
echo sha1($str, true).'<br/>';
# 40位十六进制
echo sha1($str, false);
```

#####L-3、可逆加密：AES()
`AES`加解密方式，主要是通过PHP系统提供的`openssl`扩展实现的，

phpStudy集成环境默认带有这个PHP扩展。

该加密方式，需要使用到以下几种参数：
```
1、加解密方案
2、加解密的密钥
3、向量值，由第一个参数决定这个参数是否需要提供，这个参数是自定义的一个字符串，与密钥一样。
```
下面老师来提供一个完整的AES类，来让同学们进行参考学习：
```php
<?php
class Aes {  
    /** 
     * 加解密方法，可通过openssl_get_cipher_methods()获得 
     */  
    protected $method;  
    /** 
     * 加解密的密钥 
     */  
    protected $secret_key;  
  
    /** 
     * 加解密的向量值，不一定需要
     */  
    protected $iv;

/** 
     * 构造函数
     * @param string $key 密钥
     * @param string $method 加密方式
     * @param string $iv iv向量
     */  
    public function __construct($key, $method = 'AES-128-ECB', $iv = '') {  
        $this->secret_key = $key;
        $this->method     = $method;
        $this->iv         = $iv;
    }  
  
    /** 
     * 加密方法，对数据进行加密，返回加密后的数据 
     * @param string $data 要加密的数据 
     * @return string 
     */  
    public function encrypt($data) {  
        return openssl_encrypt($data, $this->method, $this->secret_key, 0, $this->iv);  
    }  
  
    /** 
     * 解密方法，对数据进行解密，返回解密后的数据 
     * @param string $data 要解密的数据 
     * @return string 
     */  
    public function decrypt($data) {  
        return openssl_decrypt($data, $this->method, $this->secret_key, 0, $this->iv);  
    }  
}

# 使用demo如下：
$aes = new Aes('12345678');  
# 加密
$encrypted = $aes->encrypt('小黄牛');  
echo '加密后得到的字符串：'.$encrypted.'<hr>';  
# 解密
$decrypted = $aes->decrypt($encrypted);  
echo '解密后得到的字符串：'.$decrypted; 
```
注意，很多同学可能会有疑惑，AES加解密不是通过`mcrypt`扩展实现的吗，

其实不然，在`PHP7.1+`以后，PHP已经不支持该扩展了，一致统一使用`openssl`扩展实现。

#####L-4、可逆加密：3DES()
3DES加密是基于`mcrypt`扩展实现的一种可逆解加解密算法。 phpStudy集成环境默认带有这个PHP扩展。

该加密方式，需要使用到以下几种参数：
```
1、加解密的密钥
2、向量值，该参数自助选择是否需要，可为空，这个参数是自定义的一个字符串，与密钥一样。
```
下面老师来提供一个完整的3DES类，来让同学们进行参考学习： （不过要注意的是，该类加密后的返回字符串是一个二进制内容，该内容不能直接保存到数据库或者文件中，也不能输出到浏览器中。至于如何处理才能正常保存，会在之后的课件中进行讲解）
```php
<?php
class DES3 {  
    /** 
     * 加解密的密钥 
     */  
    private $_key;  
    /** 
     * 加解密的向量值，不一定需要
     */ 
    private $_iv;  
    /** 
     * 构造函数
     * @param string $key 密钥
     * @param string $iv iv向量
     */
    public function __construct($key, $iv='') {  
        $this->_key = $key;  
        $this->_iv = $iv;  
    }  
      
    /** 
    * 对字符串进行3DES加密 
    * @param string $str 要加密的字符串 
    * @return mixed 加密成功返回加密后的字符串，否则返回false 
    */  
    public function encrypt($str) {  
        # 打开3DES加密算法
        $td = mcrypt_module_open(MCRYPT_3DES, "", MCRYPT_MODE_CBC, "");  
        if ($td === false) {  
            return false;  
        }  
        # 检查加密key，iv的长度是否符合算法要求
        $key = $this->fixLen($this->_key, mcrypt_enc_get_key_size($td));  
        $iv  = $this->fixLen($this->_iv, mcrypt_enc_get_iv_size($td));  
          
        # 加密数据长度处理  
        $str = $this->strPad($str, mcrypt_enc_get_block_size($td));  
        # 初始化加密所需的缓冲区 
        if (mcrypt_generic_init($td, $key, $iv) !== 0) {  
            return false;  
        }
        # 开始加密
        $result = mcrypt_generic($td, $str);  
        mcrypt_generic_deinit($td);  
        mcrypt_module_close($td);  
        return $result;  
    }  
      
    /** 
    * 对加密的字符串进行3DES解密 
    * @param string $str 要解密的字符串 
    * @return mixed 加密成功返回加密后的字符串，否则返回false 
    */  
    public function decrypt($str) {  
        $td = mcrypt_module_open(MCRYPT_3DES, "", MCRYPT_MODE_CBC, "");  
        if ($td === false) {  
            return false;  
        }  
           
        $key = $this->fixLen($this->_key, mcrypt_enc_get_key_size($td));  
        $iv  = $this->fixLen($this->_iv, mcrypt_enc_get_iv_size($td));  
          
        if (mcrypt_generic_init($td, $key, $iv) !== 0) {  
            return false;  
        }

# 开始解密
        $result = mdecrypt_generic($td, $str);  
        mcrypt_generic_deinit($td);  
        mcrypt_module_close($td);  
          
        return $this->strUnPad($result);  
    }  
      
    /** 
    * 返回适合算法长度的key，iv字符串 
    * @param string $str key或iv的值 
    * @param int $td_len 符合条件的key或iv长度 
    * @return string 返回处理后的key或iv值 
    */  
    private function fixLen($str, $td_len) {  
        $str_len = strlen($str);  
        if ($str_len > $td_len) {  
            return substr($str, 0, $td_len);  
        } else if($str_len < $td_len) {  
            return str_pad($str, $td_len, '0');  
        }  
        return $str; 
    }  
      
    /** 
    * 返回适合算法的分组大小的字符串长度，末尾使用\0补齐 
    * @param string $str 要加密的字符串 
    * @param int $td_group_len 符合算法的分组长度 
    * @return string 返回处理后字符串 
    */  
    private function strPad($str, $td_group_len) {  
        $padding_len = $td_group_len - (strlen($str) % $td_group_len);  
        return str_pad($str, strlen($str) + $padding_len, "\0");  
    }  
      
    /** 
    * 返回适合算法的分组大小的字符串长度，末尾使用\0补齐 
    * @param string $str 要加密的字符串 
    * @return string 返回处理后字符串 
    */  
    private function strUnPad($str) {  
        return rtrim($str);  
    } 
}

$des3 = new DES3('asdjakdjkasdjks');  
# 加密
$encrypted = $des3->encrypt('小黄牛');  
echo '加密后得到的字符串：'.$encrypted.'<hr>';  
# 解密
$decrypted = $des3->decrypt($encrypted);  
echo '解密后得到的字符串：'.$decrypted;
```

#####L-5、可逆加密：RSA()
`RSA`加密是基于`openssl`扩展实现的一种可逆解加解密算法。 phpStudy集成环境默认带有这个PHP扩展。

该加密方式，需要使用到以下几种参数：
```
1、加密用的公钥
2、加密用的私钥
```
上面所说的两个密钥，与之前我们所学的两种加密方式中所说的秘钥不一样，它们有这严格的数据格式，

一般都是使用某种固定的算法生成，老师推荐同学们使用支付宝提供的RSA密钥生成器生成：`https://docs.open.alipay.com/58/103242`。

下面老师来提供一个完整的RSA类，来让同学们进行参考学习：
```php
<?php
class Rsa {
    /**
     * 公钥
     */
    public $publicKey;
    /**
     * 私钥
     */
    public $privateKey;

/**
     * 构造函数
     * @param string $publicKey 公钥
     * @param string $privateKey 私钥
     */
    public function __construct($publicKey, $privateKey) {
        $this->publicKey  = $publicKey;
        $this->privateKey = $privateKey;
        # 判断两个密钥是否可用
        if (!openssl_pkey_get_public($this->publicKey))   { die('公钥不合法'); }
        if (!openssl_pkey_get_private($this->privateKey)) { die('私钥不合法'); }
    }

/**
     * 公钥加密
     * @param string $data 要加密的字串
     * @return string $encrypted 加密字串
     */
    public function encrypt($data) {
        openssl_public_encrypt($data, $encrypted, $this->publicKey);
        # 加密后的内容一般需要使用base64_encode函数转换下编码
        return base64_encode($encrypted);
    }

/**
     * 私钥解密
     * @param string $data 要解密的字串
     * @return string $encrypted 解密字串
     */
    public function decrypt($data) {
        # 解密的内容一般需要使用base64_decode函数转换回编码
        openssl_private_decrypt(base64_decode($data), $decrypted, $this->privateKey);
        return $decrypted;
    }

/** 
      * RSA加签 
      * @param array $data 要加密数据
      * @return string 
      */  
	 public function sign($data) {
        openssl_sign($data, $sign, $this->privateKey, OPENSSL_ALGO_MD5);
        return $sign;
    }
	/** 
     * RSA验签 
     * @param array  $data 要加密数据
     * @param string $sign 签名字符串
	 * @return string 
     */  
	public function verify($data, $sign) {
        $result = openssl_verify($data, $sign, $this->publicKey, OPENSSL_ALGO_MD5);
        return $result;
    }
	
}

$private_key = '-----BEGIN RSA PRIVATE KEY-----  
MIICXQIBAAKBgQC3//sR2tXw0wrC2DySx8vNGlqt3Y7ldU9+LBLI6e1KS5lfc5jl  
TGF7KBTSkCHBM3ouEHWqp1ZJ85iJe59aF5gIB2klBd6h4wrbbHA2XE1sq21ykja/  
Gqx7/IRia3zQfxGv/qEkyGOx+XALVoOlZqDwh76o2n1vP1D+tD3amHsK7QIDAQAB  
AoGBAKH14bMitESqD4PYwODWmy7rrrvyFPEnJJTECLjvKB7IkrVxVDkp1XiJnGKH  
2h5syHQ5qslPSGYJ1M/XkDnGINwaLVHVD3BoKKgKg1bZn7ao5pXT+herqxaVwWs6  
ga63yVSIC8jcODxiuvxJnUMQRLaqoF6aUb/2VWc2T5MDmxLhAkEA3pwGpvXgLiWL  
3h7QLYZLrLrbFRuRN4CYl4UYaAKokkAvZly04Glle8ycgOc2DzL4eiL4l/+x/gaq  
deJU/cHLRQJBANOZY0mEoVkwhU4bScSdnfM6usQowYBEwHYYh/OTv1a3SqcCE1f+  
qbAclCqeNiHajCcDmgYJ53LfIgyv0wCS54kCQAXaPkaHclRkQlAdqUV5IWYyJ25f  
oiq+Y8SgCCs73qixrU1YpJy9yKA/meG9smsl4Oh9IOIGI+zUygh9YdSmEq0CQQC2  
4G3IP2G3lNDRdZIm5NZ7PfnmyRabxk/UgVUWdk47IwTZHFkdhxKfC8QepUhBsAHL  
QjifGXY4eJKUBm3FpDGJAkAFwUxYssiJjvrHwnHFbg0rFkvvY63OSmnRxiL4X6EY  
yI9lblCsyfpl25l7l5zmJrAHn45zAiOoBrWqpM5edu7c  
-----END RSA PRIVATE KEY-----';  
  
$public_key = '-----BEGIN PUBLIC KEY-----  
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC3//sR2tXw0wrC2DySx8vNGlqt  
3Y7ldU9+LBLI6e1KS5lfc5jlTGF7KBTSkCHBM3ouEHWqp1ZJ85iJe59aF5gIB2kl  
Bd6h4wrbbHA2XE1sq21ykja/Gqx7/IRia3zQfxGv/qEkyGOx+XALVoOlZqDwh76o  
2n1vP1D+tD3amHsK7QIDAQAB  
-----END PUBLIC KEY-----';  
  
# 使用DEMO如下
$rsa = new Rsa($public_key, $private_key);  
$str = '小黄牛';
# 获得rsa签名
$sign = $rsa->sign($str);
# rsa验签
if ($rsa->verify($str, $sign) == 1) {
    # 加密
    $encrypted = $rsa->encrypt('小黄牛');  
    echo '加密后得到的字符串：'.$encrypted.'<hr>';  
    # 解密
    $decrypted = $rsa->decrypt($encrypted);  
    echo '解密后得到的字符串：'.$decrypted;
}
```
从上面代码可以看出，RSA加密要比前两种加密方式多出了一个验签的功能，

这个功能主要是为了验证密钥在有效的情况下，渠道和使用者双方密钥的一致性。

就是使用方把sign传递给渠道方，然后渠道方再验签，

同时渠道方回调信息时，也可以回调给使用方，然后使用方再验签，

这样可以更加确保数据的安全性。

#####L-6、自定义可逆加密函数

在实际开发中，考虑到并不是所有使用方的服务器都安装有`openssl`或`mcrypt`扩展，

这时候为了让所有使用方都能正常调用接口，就需要渠道方自己编写一套不需要扩展支持就能使用的可逆加密算法。

刚开始入门编程的你们，并不需要深入学习加密算法，因为这需要非常深厚的编程功底。

#####L-7、二进制转换编码：base64()
在加密过程中，我们经常会看到加密后的二进制字符串是既不能输出，又不能保存的，

这时候如果我们想保存或输出，就需要对其进行编码转换，使用`base64_encode()`函数。

当我们需要使用时，再使用`base64_decode()`转换回原来的二进制即可。

下面我们使用`md5()`编写一个案例：
```php
<?php
# 需要加密的字符串
$str= '我是小黄牛';
# 16字符串二进制加密
$md5 = md5($str, true);
# 转编码输出
$base64 = base64_encode($md5);
echo $base64.'<br/>';
# 再转回来输出
echo base64_decode($base64);
```
#####L-8、4种可逆加密方式的对比
加密方式的选择，除了有可逆转和不可逆转外，还有加密的复杂度，

之前我们不是提过，一般对外接口都包括以下几点必备条件：
```
A、第三方身份ID，又可称为ChannelID或AppID，用于接口请求时识别身份
B、第三方身份应用密钥，又可称为ChannelSecret或AppSecret，常用于接口验证的sign签名生成
C、第三方接口公钥，又称为PublicKey，常用于数据解加密
D、第三方接口私钥，又称为PrivateKey，常用于数据解加密
```
当我们使用AES或3DES加密方式时，只需要`A/B`参数，当使用RSA加密方式时，只需要`A/C/D`参数。

AES和3DES的加密强度相差不多，复杂度的加强是由`iv向量值`的复杂程度所决定的，所以当我们需要加强加密复杂度是，可以使用`iv向量值`。

同时，RSA是这种加密中，加密强度最高的，一般银行系统都是使用这种加密方式。

####M、接口权限认证
API接口设计中，除了需要对数据进行加密外，还需要验证接口的调用权限，

我们一般需要对使用方的`ChannelID`或`AppID`进行权限控制，

例如，数据库有个权限表，哪个接口，这个ID是有权限访问的，每天的访问次数是多少等。

同时作为渠道方的我们，在使用方请求我们的接口时，我们一般要有一套请求合法性验证的规则，例如：

我们会给使用方一个临时的身份凭证(`access_token`)，只有每次请求都带上这个凭证，我们才给你请求。

同时还可以做`sign`验签，就跟RSA加密方式那样。

####N、sign签名
在实际开发中，并不是所有加密方式都支持sign签名生成的，这时候就需要我们自己设计，

并编写出一套sign签名生成 与 验签的流程。

正常情况下，sign签名都是由请求的数据所生成，我们会用下面的逻辑来对其进行编写：
```
1、提交的数据按数组(作为字符串来比较)从最低到最高重新排序。
2、将排序后的数组转换为json格式
3、使用sha1() 40位十六进制加密。
```
下面我们一起来看下完整的案例：
```php
<?php
/**
 * 生成签名
 * @param array $data 接口提交的参数
 * @param bool $status 是否验签
 * @param string $sign 验签时的签名内容
 * @return string|bool
*/
function Sign($data, $status=false, $sign=''){
    # 重新排序
    sort($data, SORT_STRING);
    # 转换为json
    $tmpStr = json_encode( $data );
    # 加密
    $tmpStr = sha1( $tmpStr );

# 验签
    if ($status) {
        # 对比两个签名是否一致
        if( $tmpStr == $sign ){
            return true;
        }else{
            return false;
        }
    }
    
    return $tmpStr;
}

# 接口提交的数据
$data = [
    'appid' => '你妹',
    'order' => 'asdad123',
];
# 生成签名
$sign = Sign($data);
echo '签名：'.$sign.'<br/>';
# 假设我是渠道方-验签
if (Sign($data, true, $sign)) {
    die('验签成功');
} else {
    die('验签失败');
}
```

####O、使用access_token开放接口有效期
`access_token`的作用，是为了限制渠道商在短期内，对所有接口(也可以是某些接口)的使用权限，

例如，`access_token`的有效期为2小时，使用方在2小时之后必须要拿到新的`access_token`才有请求接口的权限，

否则非法请求。

access_token一般是由16位或32位随机字符串构成的，由于对外接口已经由ChannelID或AppID进行权限控制了，

DEMO使用流程如下：
```
1、注册开发者账号
2、登录开发者中心
3、填写签名认证信息
4、数字签名认证通过
5、根据URL传递开发者应用ID，获取access_token
6、根据URL传递access_token 调用数据API
7、根据URL传递access_token 更新出新的access_token 保护秘钥安全
```

####P、数据提交类型
在实际API开发中，HTTP动词并不代表数据的提交类型，

API的数据提交类型主要分为3大类，4种参数：

3大类是：
```
数组、JSON、XML
```
4种参数是：
```
application/x-www-form-urlencoded(不带文件上传时，最常用的POST提交类型，数组格式)
multipart/form-data(在带文件上传时，使用的POST提交类型，数组格式)
application/json(JSON格式)
text/xml(XML格式)
```
至于在API接口使用中，如何设置数据提交格式，同学们不用急，在之后的课件中会教到。

####Q、请求头的运用
在API接口开发中，请求头headers的作用，主要是用来携带一些请求验证信息，例如：

sign签名、time请求时间、access_token请求凭证等，这些信息都不属于正常的业务数据，

这类信息就应该放置在请求头中，这样不会污染了请求内容的数据结构。

至于在API接口使用中，如何设headers请求头，同学们不用急，在之后的课件中会教到。

####R、Hypermedia API
Hypermedia设计，是一个接口使用体验设计，因为在实际开发中，API接口一般是连串使用的，

例如我们使用A接口提交订单，接下来就应该再使用B接口查询订单信息，是一连串连续的操作。

Hypermedia就是让我们在A接口的回调内容中，加入B接口的调用地址或者接口编号，

这样使用方的开发人员，就算不查看接口文档，也知道下一步应该做什么。

例如，我们可以将接口返回值改成以下结构(Json为例)：
```php
{
    'code' => '00',
    'msg'  => '请求成功',
    'like' => {
        'href'  => '下一个接口的地址',
        'rel'   => '接口在文档中的序号',
        'title' => '接口名称',
        'type'  => '数据提交格式',
        'method'=> '请求类型',
    },
    'data' => '回调内容，我这里就不写了',

}
```

到这里，所有关于RESTful API设计规范的知识点我们都涉猎到啦，下一章我们将学习如何使用CURL扩展，请求一个接口。

已有0条评论

添加新评论☺

如果认为本文对您有所帮助请赞助本站

支付宝扫一扫赞助

已有0条评论

添加新评论☺