大家好，我是码农先森。
我之前待过一个做 ToB 业务的公司，主要是研发以会员为中心的 SaaS 平台，其中涉及的子系统有会员系统、积分系统、营销系统等。在这个 SaaS 平台中有一个重要的角色「租户」，这个租户可以拥有一个或多个子系统的使用权限，此外租户还可以使用平台所提供的开放 API 「即 OpenApi」来获取相关系统的数据。有了 OpenApi 租户可以更便捷的与租户自有系统进行打通，提高系统之间数据的传输效率。那么这一次实践的主要内容是 OpenApi 的授权设计，希望对大家能有所帮助。
我们先梳理一下本次实践的关键步骤：
- 给每一个租户分配一对 AppKey、AppSecret。
- 租户通过传递 AppKey、AppSecret 参数获取到平台颁发的 AccessToken。
- 租户再通过 AccessToken 来换取可以实际调用 API 的 RefreshToken。
- 这时的 RefreshToken 是具有时效性，目前设置的有效期为 2 个小时。
- 针对 RefreshToken 还会提供一个刷新时效的接口。
- 只有 RefreshToken 才有调用业务 API 的真实权限。
有些朋友对 AccessToken 和 RefreshToken 傻傻分不清，疑问重重？我在最开始接触这个设计的时候也是懵逼的，为啥要搞两个，一个不也能解决问题吗？确实搞一个也可以用，但大家如果对接过微信的开放 API 就会发现他们也是有两个，此外还有很多大的开放平台也是采用类似的设计逻辑，所以存在即合理。
这里我说一下具体的原因，AccessToken 是基于 AppKey 和 AppSecret 来生成的，而 RefreshToken 是通过 AccessToken 交换得来的。并且 RefreshToken 具备有效性，需要通过一个刷新接口，不定时的刷新 RefreshToken。RefreshToken 的使用是最频繁的，在每次的业务 API 调用是都需要进行传输，传输的次数多了那么 RefreshToken 被劫持的风险就会变大。假设 RefreshToken 真的被泄露，那么损失也是控制在 2 个小时以内，为了减低损失也还可以调低有效时间。总而言之，网络的传输并不总是能保证安全，AccessToken 在网络上只需要一次传输「即换取 RefreshToken」，而 RefreshToken 需要不断的在网络的传输「即不断调用业务 API」，传输的次数越少风险就越低，这就是设计两个 Token 的根本原因。
话不多说，开整！
按照惯例，我们先对整个目录结构进行梳理。这次的重点逻辑主要是在控制器 controller 的 auth 中实现，包含三个 API 接口一是生成 AccessToken、二是通过 AccessToken 交换 RefreshToken，三是刷新 RefreshToken。中间件 middleware 的 api_auth 是对 RefreshToken 进行解码验证，判断客户端传递的 RefreshToken 是否有效。此外，AccessToken 和 RefreshToken 的生成策略都是采用的 JWT 规则。
[manongsen@root php_to_go]$ tree -L 2
.
├── go_openapi
│ ├── app
│ │ ├── controller
│ │ │ ├── auth.go
│ │ │ └── user.go
│ │ ├── middleware
│ │ │ └── api_auth.go
│ │ ├── model
│ │ │ └── tenant.go
│ │ ├── config
│ │ │ └── config.go
│ │ └── route.go
│ ├── go.mod
│ ├── go.sum
│ └── main.go
└── php_openapi
│ ├── app
│ │ ├── controller
│ │ │ ├── Auth.php
│ │ │ └── User.php
│ │ ├── middleware
│ │ │ └── ApiAuth.php
│ │ ├── model
│ │ │ └── Tenant.php
│ │ └── middleware.php
│ ├── composer.json
│ ├── composer.lock
│ ├── config
│ ├── route
│ │ └── app.php
│ ├── think
│ ├── vendor
│ └── .env
ThinkPHP
使用 composer 创建 php_openapi 项目，并且安装 predis、php-jwt 扩展包。
[manongsen@root ~]$ pwd
/home/manongsen/workspace/php_to_go/php_openapi
[manongsen@root php_openapi]$ composer create-project topthink/think php_openapi
[manongsen@root php_openapi]$ cp .example.env .env
[manongsen@root php_openapi]$ composer require predis/predis
[manongsen@root php_openapi]$ composer require firebase/php-jwt
使用 ThinkPHP 框架提供的命令行工具 php think 创建控制器、中间件、模型文件。
[manongsen@root php_openapi]$ php think make:model Tenant
Model:app\model\Tenant created successfully.
[manongsen@root php_openapi]$ php think make:controller Auth
Controller:app\controller\Auth created successfully.
[manongsen@root php_openapi]$ php think make:controller User
Controller:app\controller\User created successfully.
[manongsen@root php_openapi]$ php think make:middleware ApiAuth
Middleware:app\middleware\ApiAuth created successfully.
在 route/app.php 文件中定义接口的路由。
<?php
use think\facade\Route;
Route::post('auth/access', 'auth/accessToken');
Route::post('auth/exchange', 'auth/exchangeToken');
Route::post('auth/refresh', 'auth/refreshToken');
// 指定使用 ApiAuth 中间件
Route::group('user', function () {
Route::get('info', 'user/info');
})->middleware(\app\middleware\ApiAuth::class);
从下面这个控制器 Auth 文件可以看出有 accessToken()、exchangeToken()、refreshToken() 三个方法，分别对应的都是三个 API 接口。这里会使用 JWT 来生成 Token 令牌，然后统一存储到 Redis 缓存中。其中 accessToken 的有效时间通常会比 refreshToken 长，但在业务接口的实际调用中使用的是 refreshToken。
<?php
namespace app\controller;
use app\BaseController;
use Firebase\JWT\JWT;
use Firebase\JWT\Key;
use app\model\Tenant;
use think\facade\Cache;
use think\facade\Env;
class Auth extends BaseController
{
/**
* 生成一个 AccessToken
*/
public function accessToken()
{
// 获取 AppKey 和 AppSecret 参数
$params = $this->request->param();
if (!isset($params["app_key"])) {
return json(["code" => 400, "msg" => "AppKey参数缺失"]);
}
$appKey = $params["app_key"];
if (empty($appKey)) {
return json(["code" => 400, "msg" => "AppKey参数为空"]);
}
if (!isset($params["app_secret"])) {
return json(["code" => 400, "msg" => "AppSecret参数缺失"]);
}
$appSecret = $params["app_secret"];
if (empty($appSecret)) {
return json(["code" => 400, "msg" => "AppSecret参数为空"]);
}
// 在数据库中判断 AppKey 和 AppSecret 是否存在
$tenant = Tenant::where('app_key', $appKey)->where('app_secret', $appSecret)->find();
if (is_null($tenant)) {
return json(["code" => 400, "msg" => "AppKey或AppSecret参数无效"]);
}
// 生成一个 AccessToken
$expiresIn = 7 * 24 * 3600; // 7 天内有效
$nowTime = time();
$payload = [
"iss" => "manongsen", // 签发者 可以为空
"aud" => "tenant", // 面向的用户，可以为空
"iat" => $nowTime, // 签发时间
"nbf" => $nowTime, // 生效时间
"exp" => $nowTime + $expiresIn, // AccessToken 过期时间
];
$accessToken = JWT::encode($payload, $tenant->app_secret, "HS256");
$scope = $tenant->scope;
$data = [
"access_token" => $accessToken, // 访问令牌
"token_type" => "bearer", // 令牌类型
"expires_in" => $expiresIn, // 过期时间，单位为秒
"scope" => $scope, // 权限范围
];
// 存储到 Redis
$redis = Cache::store('redis')->handler();
$redis->set(sprintf("%s.%s", Env::get("ACCESS_TOKEN_PREFIX"), $accessToken), $appKey, $expiresIn);
return json_encode(["code" => 200, "msg"=>"ok", "data" => $data]);
}
/**
* 通过 AccessToken 换取 RefreshToken
*/
public function exchangeToken()
{
// 获取 AccessToken 参数
$params = $this->request->param();
if (!isset($params["access_token"])) {
return json(["code" => 400, "msg" => "AccessToken参数缺失"]);
}
$accessToken = $params["access_token"];
if (empty($accessToken)) {
return json(["code" => 400, "msg" => "AccessToken参数为空"]);
}
// 校验 AccessToken
$redis = Cache::store('redis')->handler();
$appKey = $redis->get(sprintf("%s.%s", Env::get("ACCESS_TOKEN_PREFIX"), $accessToken));
if (empty($appKey)) {
return json(["code" => 400, "msg" => "AccessToken参数失效"]);
}
$tenant = Tenant::where('app_key', $appKey)->find();
if (is_null($tenant)) {
return json(["code" => 400, "msg" => "AccessToken参数失效"]);
}
$expiresIn = 2 * 3600; // 2 小时内有效
$nowTime = time();
$payload = [
"iss" => "manongsen", // 签发者, 可以为空
"aud" => "tenant", // 面向的用户, 可以为空
"iat" => $nowTime, // 签发时间
"nbf" => $nowTime, // 生效时间
"exp" => $nowTime + $expiresIn, // RefreshToken 过期时间
];
$refreshToken = JWT::encode($payload, $tenant->app_secret, "HS256");
// 颁发 RefreshToken
$data = [
"refresh_token" => $refreshToken, // 刷新令牌
"expires_in" => $expiresIn, // 过期时间，单位为秒
];
// 存储到 Redis
$redis = Cache::store('redis')->handler();
$redis->set(sprintf("%s.%s", Env::get("REFRESH_TOKEN_PREFIX"), $refreshToken), $appKey, $expiresIn);
return json_encode(["code" => 200, "msg"=>"ok", "data" => $data]);
}
/**
* 刷新 RefreshToken
*/
public function refreshToken()
{
// 获取 RefreshToken 参数
$params = $this->request->param();
if (!isset($params["refresh_token"])) {
return json(["code" => 400, "msg" => "RefreshToken参数缺失"]);
}
$refreshToken = $params["refresh_token"];
if (empty($refreshToken)) {
return json(["code" => 400, "msg" => "RefreshToken参数为空"]);
}
// 校验 RefreshToken
$redis = Cache::store('redis')->handler();
$appKey = $redis->get(sprintf("%s.%s", Env::get("REFRESH_TOKEN_PREFIX"), $refreshToken));
if (empty($appKey)) {
return json(["code" => 400, "msg" => "RefreshToken参数失效"]);
}
$tenant = Tenant::where('app_key', $appKey)->find();
if (is_null($tenant)) {
return json(["code" => 400, "msg" => "RefreshToken参数失效"]);
}
// 颁发一个新的 RefreshToken
$expiresIn = 2 * 3600; // 2 小时内有效
$nowTime = time();
$payload = [
"iss" => "manongsen", // 签发者 可以为空
"aud" => "tenant", // 面向的用户，可以为空
"iat" => $nowTime, // 签发时间
"nbf" => $nowTime, // 生效时间
"exp" => $nowTime + $expiresIn, // RefreshToken 过期时间
];
$newRefreshToken = JWT::encode($payload, $tenant->app_secret, "HS256");
$data = [
"refresh_token" => $newRefreshToken, // 新的刷新令牌
"expires_in" => $expiresIn, // 过期时间，单位为秒
];
// 将新的 RefreshToken 存储到 Redis
$redis = Cache::store('redis')->handler();
$redis->set(sprintf("%s.%s", Env::get("REFRESH_TOKEN_PREFIX"), $newRefreshToken), $appKey, $expiresIn);
// 删除旧的 RefreshToken
$redis->del(sprintf("%s.%s", Env::get("REFRESH_TOKEN_PREFIX"), $refreshToken));
return json_encode(["code" => 200, "msg"=>"ok", "data" => $data]);
}
}
启动 php_openapi 服务。
[manongsen@root php_openapi]$ php think run
ThinkPHP Development server is started On <http://0.0.0.0:8000/>
You can exit with `CTRL-C`
Document root is: /home/manongsen/workspace/php_to_go/php_openapi/public
[Wed Jul 3 22:02:16 2024] PHP 8.3.4 Development Server (http://0.0.0.0:8000) started
使用 Postman 工具在 Header 上设置 Authorization 参数「即 RefreshToken」便可以成功的返回数据。
Gin
使用 go mod init 初始化 go_openapi 项目，再使用 go get 安装相应的第三方依赖库。
[manongsen@root ~]$ pwd
/home/manongsen/workspace/php_to_go/go_openapi
[manongsen@root go_openapi]$ go mod init go_openapi
[manongsen@root go_openapi]$ go get github.com/gin-gonic/gin
[manongsen@root go_openapi]$ go get gorm.io/gorm
[manongsen@root go_openapi]$ go get github.com/golang-jwt/jwt/v4
[manongsen@root go_openapi]$ go get github.com/go-redis/redis
在 Gin 中没有类似 php think 的命令行工具，因此需要自行创建 controller、middleware、model 等文件。
在 app/route.go 路由文件中定义接口，和在 ThinkPHP 中的使用差不多并无两样。
package app
import (
"go_openapi/app/controller"
"go_openapi/app/middleware"
"github.com/gin-gonic/gin"
)
func InitRoutes(r *gin.Engine) {
r.POST("/auth/access", controller.AccessToken)
r.POST("/auth/exchange", controller.ExchangeToken)
r.POST("/auth/refresh", controller.RefreshToken)
// 指定使用 ApiAuth 中间件
user := r.Group("/user/").Use(middleware.ApiAuth())
user.GET("info", controller.UserInfo)
}
同样在 Gin 的控制器中也是三个方法对应三个接口。
package controller
import (
"fmt"
"go_openapi/app/config"
"go_openapi/app/model"
"net/http"
"time"
"github.com/gin-gonic/gin"
"github.com/golang-jwt/jwt"
)
// 生成一个 AccessToken
func AccessToken(c *gin.Context) {
// 获取 AppKey 和 appSecret 参数
appKey := c.PostForm("app_key")
if len(appKey) == 0 {
c.JSON(http.StatusOK, gin.H{
"code": 400,
"msg": "AppKey参数为空",
})
return
}
appSecret := c.PostForm("app_secret")
if len(appSecret) == 0 {
c.JSON(http.StatusOK, gin.H{
"code": 400,
"msg": "appSecret参数为空",
})
return
}
// 在数据库中判断 AppKey 和 appSecret 是否存在
var tenant *model.Tenant
dbRes := config.DemoDB.Model(&model.Tenant{}).
Where("app_key = ?", appKey).
Where("app_secret = ?", appSecret).
First(&tenant)
if dbRes.Error != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
return
}
// 生成一个 AccessToken
expiresIn := int64(7 * 24 * 3600) // 7 天内有效
nowTime := time.Now().Unix()
jwtToken := jwt.New(jwt.SigningMethodHS256)
claims := jwtToken.Claims.(jwt.MapClaims)
claims["iss"] = "manongsen" // 签发者 可以为空
claims["aud"] = "tenant" // 面向的用户，可以为空
claims["iat"] = nowTime // 签发时间
claims["nbf"] = nowTime // 生效时间
claims["exp"] = nowTime + expiresIn // AccessToken 过期时间
accessToken, err := jwtToken.SignedString([]byte(tenant.AppSecret))
if err != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
return
}
scope := tenant.Scope
data := map[string]interface{}{
"access_token": accessToken, // 访问令牌
"token_type": "bearer", // 令牌类型
"expires_in": expiresIn, // 过期时间，单位为秒
"scope": scope, // 权限范围
}
// 存储 AccessToken 到 Redis
config.RedisConn.Set(fmt.Sprintf("%s.%s", config.ACCESS_TOKEN_PREFIX, accessToken), tenant.AppKey, time.Second*time.Duration(expiresIn)).Result()
c.JSON(http.StatusOK, gin.H{
"code": 200,
"msg": "ok",
"data": data,
})
}
// 通过 AccessToken 换取 RefreshToken
func ExchangeToken(c *gin.Context) {
// 获取 AccessToken 参数
accessToken := c.PostForm("access_token")
if len(accessToken) == 0 {
c.JSON(http.StatusOK, gin.H{
"code": 400,
"msg": "AccessToken参数为空",
})
return
}
// 校验 AccessToken
appKey, err := config.RedisConn.Get(fmt.Sprintf("%s.%s", config.ACCESS_TOKEN_PREFIX, accessToken)).Result()
if err != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
return
}
if len(appKey) == 0 {
c.JSON(http.StatusOK, gin.H{
"code": 400,
"msg": "AccessToken参数失效",
})
return
}
var tenant *model.Tenant
dbRes := config.DemoDB.Model(&model.Tenant{}).
Where("app_key = ?", appKey).
First(&tenant)
if dbRes.Error != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
return
}
expiresIn := int64(2 * 3600) // 2 小时内有效
nowTime := time.Now().Unix()
jwtToken := jwt.New(jwt.SigningMethodHS256)
claims := jwtToken.Claims.(jwt.MapClaims)
claims["iss"] = "manongsen" // 签发者 可以为空
claims["aud"] = "tenant" // 面向的用户，可以为空
claims["iat"] = nowTime // 签发时间
claims["nbf"] = nowTime // 生效时间
claims["exp"] = nowTime + expiresIn // RefreshToken 过期时间
refreshToken, err := jwtToken.SignedString([]byte(tenant.AppSecret))
if err != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
return
}
// 颁发 RefreshToken
data := map[string]interface{}{
"refresh_token": refreshToken, // 刷新令牌
"expires_in": expiresIn, // 过期时间，单位为秒
}
// 存储到 Redis
config.RedisConn.Set(fmt.Sprintf("%s.%s", config.REFRESH_TOKEN_PREFIX, refreshToken), appKey, time.Second*time.Duration(expiresIn))
c.JSON(http.StatusOK, gin.H{
"code": 200,
"msg": "ok",
"data": data,
})
}
// 刷新 RefreshToken
func RefreshToken(c *gin.Context) {
// 获取 RefreshToken 参数
refreshToken := c.PostForm("refresh_token")
if len(refreshToken) == 0 {
c.JSON(http.StatusOK, gin.H{
"code": 400,
"msg": "RefreshToken参数为空",
})
return
}
// 校验 RefreshToken
appKey, err := config.RedisConn.Get(fmt.Sprintf("%s.%s", config.REFRESH_TOKEN_PREFIX, refreshToken)).Result()
if err != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
}
if len(appKey) == 0 {
c.JSON(http.StatusOK, gin.H{
"code": 400,
"msg": "AccessToken参数失效",
})
return
}
var tenant *model.Tenant
dbRes := config.DemoDB.Model(&model.Tenant{}).
Where("app_key = ?", appKey).
First(&tenant)
if dbRes.Error != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
return
}
// 颁发一个新的 RefreshToken
expiresIn := int64(2 * 3600) // 2 小时内有效
nowTime := time.Now().Unix()
jwtToken := jwt.New(jwt.SigningMethodHS256)
claims := jwtToken.Claims.(jwt.MapClaims)
claims["iss"] = "manongsen" // 签发者 可以为空
claims["aud"] = "tenant" // 面向的用户，可以为空
claims["iat"] = nowTime // 签发时间
claims["nbf"] = nowTime // 生效时间
claims["exp"] = nowTime + expiresIn // RefreshToken 过期时间
newRefreshToken, err := jwtToken.SignedString([]byte(tenant.AppSecret))
if err != nil {
c.JSON(http.StatusOK, gin.H{
"code": 500,
"msg": "内部服务错误",
})
return
}
data := map[string]interface{}{
"refresh_token": newRefreshToken, // 新的刷新令牌
"expires_in": expiresIn, // 过期时间，单位为秒
}
// 将新的 RefreshToken 存储到 Redis
config.RedisConn.Set(fmt.Sprintf("%s.%s", config.REFRESH_TOKEN_PREFIX, newRefreshToken), appKey, time.Second*time.Duration(expiresIn))
// 删除旧的 RefreshToken
config.RedisConn.Del(fmt.Sprintf("%s.%s", config.REFRESH_TOKEN_PREFIX, refreshToken))
c.JSON(http.StatusOK, gin.H{
"code": 200,
"msg": "ok",
"data": data,
})
}
启动 go_openapi 服务。
[manongsen@root go_openapi]$ go run main.go
[GIN-debug] [WARNING] Creating an Engine instance with the Logger and Recovery middleware already attached.
[GIN-debug] [WARNING] Running in "debug" mode. Switch to "release" mode in production.
- using env: export GIN_MODE=release
- using code: gin.SetMode(gin.ReleaseMode)
[GIN-debug] POST /auth/access --> go_openapi/app/controller.AccessToken (3 handlers)
[GIN-debug] POST /auth/exchange --> go_openapi/app/controller.ExchangeToken (3 handlers)
[GIN-debug] POST /auth/refresh --> go_openapi/app/controller.RefreshToken (3 handlers)
[GIN-debug] GET /user/info --> go_openapi/app/controller.UserInfo (4 handlers)
[GIN-debug] [WARNING] You trusted all proxies, this is NOT safe. We recommend you to set a value.
Please check https://pkg.go.dev/github.com/gin-gonic/gin#readme-don-t-trust-all-proxies for details.
[GIN-debug] Listening and serving HTTP on :8001
使用 Postman 工具在 Header 上设置 Authorization 参数「即 RefreshToken」便可以成功的返回数据。
结语
工作中只要接触过第三方开放平台的都离不开 OpenApi，几乎各大平台都会有自己的 OpenApi 比如微信、淘宝、京东、抖音等。在 OpenApi 对接的过程中最首要的环节就是授权，获取到平台的授权 Token 至关重要。对于我们程序员来说，不仅要能对接 OpenApi 获取到业务数据，还有对其中的授权实现逻辑要有具体的研究，才能通晓其本质做到一通百通。这次我分享的是基于之前公司做 SaaS 平台一些经验的提取，希望能对大家有所帮助。最好的学习就是实践，大家可以手动实践一下，如有需要完整实践代码的朋友可在微信公众号内回复「1087」获取对应的代码。
欢迎关注、分享、点赞、收藏、在看，我是微信公众号「码农先森」作者。
