Yii框架中的RESTful API认证机制

Yii框架是一个高性能的PHP框架，用于开发Web 2.0应用。在Yii中实现RESTful API认证有多种方法，这里我们将讨论两种常用的方法：基本认证和OAuth 2.0认证。

1. 基本认证（Basic Authentication）

基本认证是一种简单的认证方式，客户端需要提供一个用户名和密码，这些信息将作为HTTP请求头的一部分发送给服务器。服务器会解码这些请求头并验证用户名和密码是否正确。

在Yii中实现基本认证的步骤如下：

步骤1：创建一个认证过滤器（AuthFilter）

首先，创建一个继承自yii\filters\auth\AuthFilter的类，并重写authenticate()方法。例如：

namespace app\filters;

use yii\filters\auth\AuthFilter;

class BasicAuthFilter extends AuthFilter
{
    protected function authenticate()
    {
        if (!$this->request->user) {
            $this->request->user = \Yii::$app->user->loginByToken();
        }

        if ($this->request->user === false) {
            $credentials = $this->request->post('credentials');
            if ($credentials && $this->validateCredentials($credentials)) {
                $this->request->user = \Yii::$app->user->loginByToken($credentials['username'], $credentials['password']);
            }
        }

        return $this->request->user;
    }

    protected function validateCredentials($credentials)
    {
        return \Yii::$app->user->findIdentity($credentials['username']) !== null && \Yii::$app->user->validatePassword($credentials['password']);
    }
}

步骤2：配置认证过滤器

在config/web.php文件中，将新创建的BasicAuthFilter添加到urlManager的auth属性中：

'urlManager' => [
    // ...
    'auth' => [
        'class' => 'app\filters\BasicAuthFilter',
    ],
],

现在，当客户端向受保护的API发起请求时，需要在HTTP请求头中添加Authorization字段，格式为Basic base64_encode(username:password)。例如：

Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

2. OAuth 2.0认证

OAuth 2.0是一种更现代且安全的认证方式，允许第三方应用在用户授权的情况下访问受保护的资源。Yii框架支持OAuth 2.0认证，可以通过使用yii2-oauth2-server扩展来实现。

首先，安装yii2-oauth2-server扩展：

composer require "voku/helper"
composer require "yiisoft/yii2-oauth2-server"

接下来，配置OAuth 2.0服务器组件：

在config/web.php文件中，添加以下配置：

'components' => [
    // ...
    'oauth2Server' => [
        'class' => 'yii\oauth2server\OAuth2Server',
        'tokenParamName' => 'access_token',
        'tokenExpiration' => 3600,
        'refreshTokenExpiration' => 2592000,
        'scope' => ['read', 'write'],
        'user' => function ($id) {
            return \Yii::$app->user->findIdentity($id);
        },
    ],
],

现在，你可以使用OAuth 2.0客户端（如Postman）来获取访问令牌。在请求受保护的API时，需要在HTTP请求头中添加Authorization字段，格式为Bearer {access_token}。例如：

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

这就是在Yii框架中实现RESTful API认证的基本方法。你可以根据自己的需求选择合适的认证方式。