Сессии в API на Yii c возможностью хранения в Redis

в 8:12, , рубрики: api, php, redis, session, yii, yii framework, Блог компании MobiDev, метки: , , , , ,

Не так давно у меня возникла необходимость написать API на Yii Framework, одним из функциональных требований в котором является авторизация. Для механизма авторизации я решил использовать сессии.

Вариант реализации самодельных сессий

До этого я видел немало реализаций API, написанных на PHP, при этом ни разу не видел реализации, где использовался бы встроенный в PHP механизм сессий. В том, что мне в основном попадалось, была реализация самодельных сессий. В большинстве случаев это выглядело следующим образом:

image

1. Клиент отправляет запрос на сервер c данными на авторизацию.
2. В случае успешной авторизации сервер генерирует уникальный идентификатор (рандомный хеш), сохраняет его у себя в хранилище (БД, кеш и т.п.), записывает информацию о принадлежности клиента к данному идентификатору и проставляет время последнего обращения к серверу. После этого он отправляет клиенту ответ с этим идентификатором.
3. Клиент, получив идентификатор сессии и сохранив его для дальнейших запросов, отправляет запрос на сервер с переданным идентификатором сессии (в качестве параметра или заголовка) для получения данных.
4. Сервер, проверив идентификатор сессии, отдает данные клиенту и обновляет время последнего обращения к серверу с данным идентификатором.

Взаимодействие между клиентом и сервером в пунктах 3 и 4 может происходить, пока не будет уничтожена запись о сессии на сервере. В случае уничтожения сессии необходимо снова выполнить пункты 1 и 2 перед дальнейшем выполнением пунктов 3 и 4. Периодически приходится делать проверки идентификаторов сессии на последнее время обращения к серверу и удалять те, у которых превышен срок жизни, если используемое хранилище сессий не умеет уничтожать записи автоматически по заданному времени жизни. В данном способе довольно много действий, которые требуют реализации.

Вариант с использованием стандартных PHP-сессий

А что мы получим, используя стандартные PHP-сессии?
1) Автоматическая генерация уникального идентификатора сессии.
2) Доступ к данным, хранимым в сессии, а также управление ими из любого места приложения.
3) Использование стандартных PHP-функций для работы с сессиями, в том числе оберток над ними. Например, class CHttpSession Yii-фреймворка.
4) Автоматическое восстановление сохраненного ранее окружения. Например, автоматический логин пользователя при получении идентификатора ранее созданной сессии.
5) Автоматическое удаление сессий, у которых закончилось время жизни.

Давайте рассмотрим, как работают сессии на основе cookie.

image

1. Браузер отправляет запрос на сервер на получение информации по указанному URL.
2. Сервер возвращает ответ с заголовком “Set-Cookie”, который сообщает браузеру, что нужно записать идентификатор сессии в cookie. Пример заголовка “Set-Cookie”:
Set-Cookie: PHPSESSID=p2799jqivvk8gnruif1lvtv5l5; path=/
3. Браузер, успешно записав идентификатор сессии в cookie, отправляет запрос на получение нового URL, но уже с заголовком “Cookie”:
Cookie: PHPSESSID=p2799jqivvk8gnruif1lvtv5l5
4. Сервер отдает страницу браузеру.

Все последующие запросы от браузера идут с заголовком “Cookie”, в котором содержится информация об идентификаторе сессии. Всё это автоматически работает в браузере, если cookie не отключены. Но что делать, если cookie отключены, или если в роли клиента выступает не браузер? В этом случае всё будет не так просто. Конечно, можно использовать прием и передачу заголовков “Set-Cookie” и “Cookie” на стороне клиента, но давайте рассмотрим иной вариант решения этой задачи, представленный ниже.

Использование PHP-сессий в API

Перед началом использования сессий нужно обратить внимание на параметры в php.ini связанные с сессиями. Обратите особое внимание на следующие параметры: session.use_cookies, session.use_only_cookies, session.use_trans_sid. Для того, чтобы начать использовать механизм PHP-сессий для API, нужно настроить эти параметры следующим образом:

session.use_cookies = 0
session.use_only_cookies = 0
session.use_trans_sid = 1
session.name = session

Конечно же, не обязательно задавать эти настройки напрямую в php.ini, достаточно задать их через PHP-функцию ini_set. Этими настройками мы отключим возможность использования cookie для хранения идентификаторов на стороне клиента, так как подразумевается использование API не только браузером, а и другими приложениями, мобильными устройствами и т.п. Включение параметра session.use_trans_sid даст нам возможность передавать идентификатор сессии в качестве GET- или POST-параметра. Если вы собираетесь разрабатывать REST API, то передача идентификатора через POST-параметр не лучший вариант, так как в REST еще используются такие методы, как PUT и DELETE, при использовании которых передача идентификатора сессии не будет работать. Поэтому лучше передавать идентификатор в качестве GET-параметра, который будет работать с любым из методов в REST API. Также зададим название GET-параметра в параметре session.name, который по умолчанию называется PHPSESSID. URL с переданным идентификатором сессии будет выглядеть следующим образом:

https://api.example.com/action?session=l2kkl7c9sm2dfedr767itc9966

Использование PHP-сессий в Yii Framework

Теперь давайте рассмотрим, как можно использовать этот механизм в Yii Framework. Для работы с сессиями в Yii предусмотрен класс CHttpSession. Чтобы использовать его, нужно прописать в конфиге в массив components следующие настройки:

'session' => array(
    'autoStart' => true,
    'cookieMode'=>'none',
    'useTransparentSessionID' => true, 
    'sessionName' => 'session',
    'timeout' => 28800,
),

где
'cookieMode'=>'none' ставит настройки php.ini в session.use_cookies = 0 и session.use_only_cookies = 0
'useTransparentSessionID' => true ставит php.ini в session.use_trans_sid = 1

Для API с не очень большим количеством обращений этого было бы достаточно, но по умолчанию сессии хранятся в виде “Plain text” файла на диске, что может стать слабым звеном при интенсивном чтении и записи сессий в высоконагруженных API. В этом случае можно использовать один из вариантов решений:
1) заменить диск на SSD;
2) поставить рейд 10 уровня из SSD дисков;
3) использовать RAM диск. Например, файловая система Tmpfs в Linux;
4) хранение сессий в Memcached (хранение данных в оперативной памяти);
5) хранение сессий в Redis (хранение данных в оперативной памяти).

Хранение сессий в Redis

Я хотел бы остановить свое внимание на Redis, в силу его разнообразных структур хранения данных. Так же хочу отметить немаловажную возможность восстановления данных (сессий в нашем случае) после перезагрузки сервера. Перед тем, как использовать Redis в качестве хранилища сессий, нужно установить Redis сервер и PHP Extension для Redis. Как установить и то, и другое, можно узнать здесь. После успешной установки появится возможность использовать PHP Session handler из PHP Extension для Redis. Для того, чтобы использовать PHP Session handler Redis-а, не меняя напрямую php.ini и имея возможность задавать Redis в качестве хранилища сессий в конфиге Yii, мне пришлось немного изменить CHttpSession, унаследовавшись от него и написав свой класс RedisSessionManager.

Теперь конфиг для session-компонента будет выглядеть следующим образом:

'session' => array(
    'class' => 'application.components.RedisSessionManager',
    'autoStart' => true,
    'cookieMode'=>'none', 
    'useTransparentSessionID' => true, 
    'sessionName' => 'session',
    'saveHandler'=>'redis',
    'savePath' => 'tcp://localhost:6379?database=10&prefix=session::',
    'timeout' => 28800,
),

Использование сессий для авторизации в API

Теперь можно использовать сессии для авторизации пользователей в API. Сделать это можно следующим образом:

Метод login:

public function actionLogin()
{
    $params = $this->getRequestParams();
    $identity=new UserIdentity($params[‘username’],$params['password']);
    if($identity->authenticate()){
        $this->sendResponse(Status::OK, array(
            'session'=>Yii::app()->session->getSessionID(),
            'message'=>'Successful login',
        ));
    }else{
        $this->sendResponse(Status::UNAUTHORIZED, $identity->errorMessage);
    }
}

Что здесь происходит? Сначала мы получаем username и password, которые пришли из запроса. Затем пробуем авторизоваться с помощью этого логина и пароля и в случае успешного входа возвращаем идентификатор сессии для его дальнейшего использования при обращении к другим методам API.

Вот так выглядит класс UserIdentity:

class UserIdentity extends CUserIdentity
{
    public function authenticate()
    {
        $account = Yii::app()->account->getByName($this->username);
        $password = Yii::app()->account->hashPassword($this->password);
        if(!$account || $this->username !== $account->username){
            $this->errorCode = self::ERROR_USERNAME_INVALID;
            $this->errorMessage = 'User with username '.$this->username.' not found';
            return false;
        } else if ($password !== $account->password) {
            $this->errorCode = self::ERROR_PASSWORD_INVALID;
            $this->errorMessage = 'Wrong password';
            return false;
        } else {
            $this->errorCode = self::ERROR_NONE;
            Yii::app()->user->login($this);
            Yii::app()->user->setId($account->id);
            Yii::app()->user->setName($account->nickname);
            return true;
        }
    }
}

В случае успешной аутентификации в компонент user заносится информация о пользователе, которая будет автоматически подставляться при следующих обращениях к api с указанным идентификатором сессии.

Метод logout:

public function actionLogout()
{
    if(Yii::app()->session->destroySession()){
        $this->sendResponse(Status::OK, 'Successful logout');
    }else{
        $this->sendResponse(Status::BAD_REQUEST, 'Logout was not successful');
    }
}

Здесь всё просто. Просто уничтожаем текущую сессию со всем её содержимым.

Также хочу отметить несколько советов по использованию сессий в API:

1) Важно использовать шифрованное соединение для общения между клиентом и сервером, чтобы не дать возможность перехватить идентификатор сессии злоумышленнику для его дальнейшего использования. К примеру, можно использовать протокол HTTPS.

2) Можно использовать дополнительные алгоритмы аутентификации сессии на случай, если сессия все же была перехвачена злоумышленником. Например, привязывать сессию к IP пользователя, дополнительно сохраняя IP внутри сессии и проверяя, не изменился ли он при очередном обращении. Если сохраненный ранее IP не совпадает с текущим, нужно уничтожить сессию.

3) Ставьте ограничение на время жизни сессии. Так как это время обновляется автоматически при очередном запросе к API, то я бы поставил, к примеру, 2 часа. Таким образом, при неактивности пользователя в течении 2 часов сессия уничтожается автоматически. Это уменьшит шанс переполнения хранилища сессий.

Напоследок короткое демо-видео о том, как работает авторизация в REST API, написанном на Yii, c хранением сессий в Redis.

Автор статьи: luxurydab

Автор: MobiDev_corp

Источник

Поделиться

* - обязательные к заполнению поля