Laravel 中的 HMAC 身份验证
最近在开发一组 API webhook 时，我需要提供一些安全方案，以便客户端能够验证 webhook 请求是否由我正在开发的正确服务器发送。经过一番在线研究，我偶然发现了用于 API 请求的 HMAC 方案。简单解释一下之后，我将给出一个在 Laravel 中为 API 端点实现该方案的示例。
基于哈希的消息认证码 (HMAC) 是使用加密哈希函数、数据和密钥生成的代码。它用于验证请求来源和内容的真实性。客户端和服务器共享一个预先知道的密钥来生成 HMAC。
简单来说，服务器和客户端共享一个密钥，并且只有服务器和客户端知道。哈希函数会在每次发出请求时使用此密钥生成一个代码。然后，此代码会被添加到请求中并发送出去。接收应用程序收到请求后，会使用刚刚收到的请求信息和存储的密钥，运行与创建代码相同的流程。如果发送者的身份正确，请求中的代码和刚刚生成的代码应该匹配，接收者就可以继续处理请求了。是不是很简单？
这是一种简单而有效的身份验证方法，因为完整性检查不允许中间人攻击，除非他们拥有密钥。然而，攻击者可能会一遍又一遍地重复发送相同的请求，这可能会导致数据损坏或泄露一些敏感信息。这些被称为重放攻击，有很多方法可以应对这类攻击，但我不会讨论任何一种方法，因为我打算尽可能简化讨论。
现在简单解释一下我们的哈希函数。我们将使用的值是：
- URL：小写的完整 URL，包括任何查询参数。
- Verb：大写的请求的 HTTP 方法，例如 POST。
- 内容 MD5：JSON 格式的请求主体的 MD5 哈希值
创建哈希码的步骤如下：
- 使用上面的值创建一个签名字符串。
- 使用字符串和我们的密钥生成哈希。
- 对哈希进行 Base64 编码并将其附加到请求标头
可以使用其他值，例如请求内容类型，但我尽量简单。每个 API 创建用于哈希计算的签名字符串的方案通常在 API 文档中描述。
设置
首先，启动一个新的 Laravel 应用程序并添加几个控制器来添加我们的 API 逻辑。
php artisan make:controller UsersController
php artisan make:controller ClientController
在 routes/api.php 中为端点添加一些路由
Route::prefix('/')->middleware('auth.hmac')->group(static function () {
Route::get('/users', [App\Http\Controllers\UsersController::class, 'getAll']);
Route::get('/users/{id}', [App\Http\Controllers\UsersController::class, 'getOne']);
Route::post('/users', [App\Http\Controllers\UsersController::class, 'create']);
Route::put('/users/{id}', [App\Http\Controllers\UsersController::class, 'update']);
});
我已经为路由分配了一个中间件auth.hmac，稍后我会再讨论这个问题。接下来，将示例公钥和密钥保存到文件中.env，并在配置文件中引用它们config/hmac.php。这里的公钥是 HMAC 的预期请求头密钥。
# .env
HMAC_PUBLIC_KEY="X-MEN-SIGNATURE"
HMAC_SECRET_KEY="Xavier's School for Gifted Youngsters"
<!-- hmac.php -->
<?php
return [
'public' => 'X-MEN-SIGNATURE',
'secret' => "Xavier's School for Gifted Youngsters"
];
接下来，我们将在控制器中实现一些方法来创建、获取和编辑用户，以方便本教程的简单使用。用户模型随 Laravel 安装而来，我们无需进行任何更改。
use App\Models\User;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Hash;
use Illuminate\Support\Facades\Validator;
class UsersController extends Controller
{
public function getAll(Request $request)
{
$users = User::all();
return response()->json($users);
}
public function getOne(Request $request, $id)
{
$user = User::findOrFail($id);
return response()->json($user);
}
public function create(Request $request)
{
$validator = Validator::make($request->all(), [
'name' => 'required',
'email' => 'required|email|unique:users',
'password' => 'required|min:6'
]);
if ($validator->fails()) {
return response()->json($validator->errors()->first(), 400);
}
extract($request->all());
$password = Hash::make($password);
$user = User::create(compact('name', 'email', 'password'));
return response()->json($user);
}
public function update(Request $request, $id)
{
$user = User::findOrFail($id);
$data = [
'name' => $request->name ?? $user->name,
'email' => $request->email ?? $user->email,
'password' => Hash::make($request->name) ?? $user->password
];
$user->update($data);
return response()->json($user);
}
}
把它弄乱
现在，我们已经为一个简单的 API 编写了有效的控制器逻辑。但是，由于缺少中间件，调用它会导致错误。让我们回过头来看一下。这个中间件将用于 HMAC 身份验证。在控制器处理请求之前，我们将确认它包含正确的 HMAC 头。
添加新的中间件：
php artisan make:middleware HmacAuth
并通过将其添加到$routeMiddleware进行注册App\Http\Kernel.php
protected $routeMiddleware = [
...
'auth.hmac' => \App\Http\Middleware\HmacAuth::class,
...
];
现在开始真正的工作。记住创建签名字符串的方案。让我们开始实现它。首先，我们检查所需的标头是否在请求中，如果不是，则中止请求。
$header = config('hmac.public');
$request_hash = $request->headers->get($header);
if (!$request_hash) {
$message = 'Header `' . $header . '` missing.';
abort('403', $message);
}
如果匹配，我们将获取字符串，该字符串由 HTTP 方法、URL 和 JSON 格式的请求主体的 MD5 哈希值组成，中间使用换行符连接而成。然后，使用密钥对字符串运行 HMAC SHA-256 哈希算法。最终，该值使用 UTF8 进行 Base64 编码，并与 HMAC 标头中的值进行比较。如果匹配，则可以继续处理请求，否则，中止处理。
最终代码如下：
class HmacAuth
{
/**
* Handle an incoming request.
*
* @param \Closure(\Illuminate\Http\Request): (\Symfony\Component\HttpFoundation\Response) $next
*/
public function handle(Request $request, Closure $next): Response
{
$header = config('hmac.public');
$request_hash = $request->headers->get($header);
if (!$request_hash) {
$message = 'Header `' . $header . '` missing.';
abort('403', $message);
}
$body = $request->all();
$url = config('hmac.webhook');
$verb = $request->method();
$md5 = md5(json_encode($body));
$string = $verb . PHP_EOL . $url . PHP_EOL . $md5;
$hash = hash_hmac('SHA256', $string, config('hmac.secret'));
$base64_hash = base64_encode($hash);
if ($base64_hash !== $request_hash) {
$message = 'Invalid `' . $header . '` Header';
abort('403', $message);
}
return $next($request);
}
}
就这样。HMAC 签名验证是 API 请求和 webhook 身份验证最简单、最强大的方法之一。
文章来源：https://dev.to/delaneys/hmac-authentication-in-laravel-4je9