Redis में स्टोर करने की क्षमता के साथ Yii एपीआई में सत्र

बहुत समय पहले नहीं, मुझे वाईआईआई फ्रेमवर्क पर एक एपीआई लिखने की आवश्यकता थी, जिसमें से एक कार्यात्मक आवश्यकता है जिसमें प्राधिकरण है। प्राधिकरण तंत्र के लिए, मैंने सत्रों का उपयोग करने का निर्णय लिया।

घर का बना सत्र कार्यान्वयन विकल्प

इससे पहले, मैंने PHP में लिखे गए कुछ एपीआई कार्यान्वयन देखे थे, जबकि मैंने कभी भी कार्यान्वयन नहीं देखा था जहां PHP में निर्मित सत्र तंत्र का उपयोग किया जाएगा। मैं ज्यादातर घर-घर के सत्रों का कार्यान्वयन करता था। ज्यादातर मामलों में, यह इस तरह दिखता था:

1. क्लाइंट प्राधिकरण डेटा के साथ सर्वर के लिए एक अनुरोध भेजता है।
2. सफल प्राधिकरण के मामले में, सर्वर एक विशिष्ट पहचानकर्ता (रैंडम हैश) बनाता है, इसे अपने स्टोरेज (डेटाबेस, कैश इत्यादि) में संग्रहीत करता है, इस पहचानकर्ता में ग्राहक की सदस्यता के बारे में जानकारी रिकॉर्ड करता है और सर्वर को अंतिम कॉल का समय देता है। उसके बाद, यह ग्राहक को इस पहचानकर्ता के साथ प्रतिक्रिया भेजता है।
3. क्लाइंट, जिसे सत्र पहचानकर्ता प्राप्त हुआ है और इसे आगे के अनुरोधों के लिए सहेजा जा रहा है, डेटा प्राप्त करने के लिए प्रेषित सत्र पहचानकर्ता (एक पैरामीटर या हेडर के रूप में) के साथ सर्वर को एक अनुरोध भेजता है।
4. सर्वर, सत्र पहचानकर्ता की जाँच कर रहा है, ग्राहक को डेटा देता है और इस पहचानकर्ता के साथ सर्वर को अंतिम कॉल का समय अपडेट करता है।

क्लाइंट और सर्वर के बीच पैराग्राफ 3 और 4 में इंटरैक्शन तब तक हो सकता है जब तक कि सर्वर पर सत्र रिकॉर्ड नष्ट न हो जाए। सत्र के नष्ट होने की स्थिति में, चरण 3 और 4 के साथ आगे बढ़ने से पहले चरण 1 और 2 को फिर से निष्पादित करना आवश्यक है। समय-समय पर, आपको सत्र पहचानकर्ताओं को अंतिम बार जांचना होगा कि आप सर्वर का उपयोग करते हैं और उन लोगों को हटा दें, जो सत्र संग्रह का उपयोग कर रहे हैं, यदि वे अपने आप रिकॉर्ड नहीं हटा सकते हैं। एक जीवन भर के लिए। इस पद्धति में, काफी कुछ क्रियाएं होती हैं जिन्हें लागू करने की आवश्यकता होती है।

मानक PHP सत्र का उपयोग कर विकल्प

और हम मानक PHP सत्रों का उपयोग करके क्या प्राप्त करेंगे?
1) एक अद्वितीय सत्र पहचानकर्ता की स्वचालित पीढ़ी।
2) सत्र में संग्रहीत डेटा, साथ ही आवेदन में कहीं से भी उनके प्रबंधन तक पहुंच।
3) उन पर रैपर सहित सत्रों के साथ काम करने के लिए मानक PHP कार्यों का उपयोग करना। उदाहरण के लिए, Yii फ्रेमवर्क का वर्ग चेटस्पेशन ।
4) पहले से बचाए गए पर्यावरण की स्वचालित बहाली। उदाहरण के लिए, पहले से बने सत्र के पहचानकर्ता को प्राप्त करते समय एक स्वचालित उपयोगकर्ता लॉगिन।
5) अपने जीवनकाल को समाप्त करने वाले सत्रों को स्वचालित रूप से हटा दें।

आइए देखें कि कुकी-आधारित सत्र कैसे काम करते हैं।

1. ब्राउज़र निर्दिष्ट URL पर जानकारी के लिए सर्वर को एक अनुरोध भेजता है।
2. सर्वर शीर्षक "सेट-कुकी" के साथ एक प्रतिक्रिया देता है, जो ब्राउज़र को बताता है कि कुकी में सत्र पहचानकर्ता को रिकॉर्ड करना आवश्यक है। उदाहरण "सेट-कुकी" शीर्षक:
Set-Cookie: PHPSESSID=p2799jqivvk8gnruif1lvtv5l5; path=/
3. ब्राउज़र, कुकी में सत्र पहचानकर्ता को सफलतापूर्वक दर्ज करने के बाद, एक नए URL के लिए एक अनुरोध भेजता है, लेकिन हेडर "डेवलपर" के साथ:
Cookie: PHPSESSID=p2799jqivvk8gnruif1lvtv5l5
4. सर्वर ब्राउजर को पेज देता है।

ब्राउज़र से सभी बाद के अनुरोध एक "कुकी" शीर्षक के साथ आते हैं, जिसमें सत्र पहचानकर्ता के बारे में जानकारी होती है। यह सब स्वचालित रूप से ब्राउज़र में काम करता है अगर कुकीज़ अक्षम नहीं हैं। लेकिन क्या होगा अगर कुकीज़ अक्षम हैं या यदि ब्राउज़र क्लाइंट नहीं है? इस मामले में, सब कुछ इतना सरल नहीं होगा। बेशक, आप क्लाइंट सेट पर "सेट-कुकी" और "कुकी" हेडर के रिसेप्शन और ट्रांसमिशन का उपयोग कर सकते हैं, लेकिन चलिए नीचे प्रस्तुत इस समस्या का एक और समाधान देखें।

एपीआई में PHP सत्र का उपयोग करना

इससे पहले कि आप सत्र का उपयोग करना शुरू करें, आपको सत्रों से संबंधित php.ini में मापदंडों पर ध्यान देने की आवश्यकता है। निम्नलिखित मापदंडों पर विशेष ध्यान दें: session.use_cookies , session.use_only_cookies , session.use_trans_sid । एपीआई के लिए PHP सत्र तंत्र का उपयोग शुरू करने के लिए, आपको इन मापदंडों को निम्नानुसार कॉन्फ़िगर करना होगा:

 session.use_cookies = 0 session.use_only_cookies = 0 session.use_trans_sid = 1 session.name = session 

बेशक, इन सेटिंग्स को सीधे php.ini में सेट करना आवश्यक नहीं है, यह उन्हें PHP फ़ंक्शन ini_set के माध्यम से सेट करने के लिए पर्याप्त है। इन सेटिंग्स के साथ, हम क्लाइंट साइड पर पहचानकर्ताओं को संग्रहीत करने के लिए कुकीज़ का उपयोग करने की क्षमता को अक्षम कर देंगे, क्योंकि इसका अर्थ है कि ब्राउज़र द्वारा न केवल एपीआई का उपयोग किया जाता है, बल्कि अन्य अनुप्रयोगों, मोबाइल उपकरणों आदि द्वारा भी। सत्र सक्षम करना ।use_trans_sid पैरामीटर हमें GET या POST पैरामीटर के रूप में सत्र पहचानकर्ता को पास करने में सक्षम करेगा। यदि आप एक REST API विकसित करने का इरादा रखते हैं, तो एक POST पैरामीटर के माध्यम से एक पहचानकर्ता को पास करना सबसे अच्छा विकल्प नहीं है, क्योंकि REST PUT और DELETE जैसे तरीकों का भी उपयोग करता है, जो सत्र पहचानकर्ता को पास करने पर काम नहीं करेगा। इसलिए, पहचानकर्ता को GET पैरामीटर के रूप में पास करना बेहतर है, जो कि REST API में किसी भी विधि के साथ काम करेगा। हमने GET पैरामीटर का नाम session.name पैरामीटर में भी सेट किया है, जिसे डिफ़ॉल्ट रूप से PHPSESSID कहा जाता है। पारित सत्र पहचानकर्ता वाला URL इस तरह दिखेगा:

https://api.example.com/action?session=l2kkl7c9sm2dfedr767itc9966

Yii फ्रेमवर्क में PHP सत्र का उपयोग करना

अब देखते हैं कि Yii फ्रेमवर्क में इस तंत्र का उपयोग कैसे किया जा सकता है। सत्रों के साथ काम करने के लिए, Yii CHttpSession वर्ग प्रदान करता है। इसका उपयोग करने के लिए, आपको घटक सरणी में कॉन्फ़िगरेशन सरणी में निम्नलिखित सेटिंग्स को पंजीकृत करने की आवश्यकता है:

 'session' => array( 'autoStart' => true, 'cookieMode'=>'none', 'useTransparentSessionID' => true, 'sessionName' => 'session', 'timeout' => 28800, ), 

जहाँ
'cookieMode' => 'कोई नहीं' php.ini सेटिंग को session.use_cookies = 0 और session.use_only_cookies = 0 पर सेट करता है
'useTransparentSessionID' => true सेट php.ini to session.use_trans_sid = 1

बहुत बड़ी संख्या में कॉल वाली API के लिए, यह पर्याप्त होगा, लेकिन डिफ़ॉल्ट रूप से, सत्र डिस्क पर "सादा पाठ" फ़ाइल के रूप में संग्रहीत किए जाते हैं, जो अत्यधिक लोड किए गए एपीआई में गहनता से पढ़ने और लिखने पर एक कमजोर लिंक बन सकता है। इस स्थिति में, आप किसी एक समाधान का उपयोग कर सकते हैं:
1) एसएसडी के साथ ड्राइव को बदलें;
2) एसएसडी डिस्क से एक स्तर 10 छापे डालें;
3) एक रैम डिस्क का उपयोग करें। उदाहरण के लिए, लिनक्स पर Tmpfs फाइल सिस्टम;
4) मेमकाटेड में भंडारण सत्र (रैम में डेटा संग्रहीत करना);
5) रेडिस में भंडारण सत्र (रैम में डेटा संग्रहीत करना)।

Redis में सत्र भंडारण

मैं इसकी विभिन्न भंडारण संरचनाओं के कारण, रेडिस पर ध्यान केंद्रित करना चाहूंगा। मैं सर्वर रिबूट के बाद डेटा रिकवरी (हमारे मामले में सत्र) की महत्वपूर्ण संभावना को भी नोट करना चाहता हूं। Redis को सत्र भंडार के रूप में उपयोग करने से पहले, आपको Redis के लिए Redis सर्वर और PHP एक्सटेंशन को स्थापित करने की आवश्यकता है। दोनों को कैसे स्थापित किया जाए, यहां पाया जा सकता है । एक सफल स्थापना के बाद, आप Redis के लिए PHP एक्सटेंशन से PHP सत्र हैंडलर का उपयोग कर पाएंगे। सीधे php.ini को बदले बिना Redis PHP Session के हैंडलर का उपयोग करने के लिए और Yii कॉन्फिगरेशन में सेशन रिपॉजिटरी के रूप में Redis को सेट करने में सक्षम होने के कारण, मुझे CHttpSession को थोड़ा संशोधित करना पड़ा, इससे विरासत में मिला और अपनी खुद की RedisSessionManager क्लास लिखी ।

अब सत्र घटक के लिए विन्यास इस तरह दिखेगा:

 'session' => array( 'class' => 'application.components.RedisSessionManager', 'autoStart' => true, 'cookieMode'=>'none', 'useTransparentSessionID' => true, 'sessionName' => 'session', 'saveHandler'=>'redis', 'savePath' => 'tcp://localhost:6379?database=10&prefix=session::', 'timeout' => 28800, ), 

एपीआई में प्राधिकरण के लिए सत्र का उपयोग करना

अब आप एपीआई में उपयोगकर्ताओं को अधिकृत करने के लिए सत्र का उपयोग कर सकते हैं। आप इस प्रकार कर सकते हैं:

लॉगिन विधि:

 public function actionLogin() { $params = $this->getRequestParams(); $identity=new UserIdentity($params['username'],$params['password']); if($identity->authenticate()){ $this->sendResponse(Status::OK, array( 'session'=>Yii::app()->session->getSessionID(), 'message'=>'Successful login', )); }else{ $this->sendResponse(Status::UNAUTHORIZED, $identity->errorMessage); } } 

यहां क्या हो रहा है? पहले हमें उपयोगकर्ता नाम और पासवर्ड मिलता है जो अनुरोध से आया है। फिर हम इस उपयोगकर्ता नाम और पासवर्ड का उपयोग करके लॉग इन करने का प्रयास करते हैं, और एक सफल लॉगिन के मामले में, अन्य एपीआई तरीकों का उपयोग करते समय आगे के उपयोग के लिए सत्र पहचानकर्ता को वापस करते हैं।

यह वही है जो UserIdentity वर्ग दिखता है:

 class UserIdentity extends CUserIdentity { public function authenticate() { $account = Yii::app()->account->getByName($this->username); $password = Yii::app()->account->hashPassword($this->password); if(!$account || $this->username !== $account->username){ $this->errorCode = self::ERROR_USERNAME_INVALID; $this->errorMessage = 'User with username '.$this->username.' not found'; return false; } else if ($password !== $account->password) { $this->errorCode = self::ERROR_PASSWORD_INVALID; $this->errorMessage = 'Wrong password'; return false; } else { $this->errorCode = self::ERROR_NONE; Yii::app()->user->login($this); Yii::app()->user->setId($account->id); Yii::app()->user->setName($account->nickname); return true; } } } 

सफल प्रमाणीकरण के मामले में, उपयोगकर्ता घटक उपयोगकर्ता घटक में दर्ज किया जाता है, जिसे स्वचालित रूप से निर्दिष्ट सत्र पहचानकर्ता के साथ एपीआई के लिए अगले कॉल के दौरान प्रतिस्थापित किया जाएगा।

लॉगआउट विधि:

 public function actionLogout() { if(Yii::app()->session->destroySession()){ $this->sendResponse(Status::OK, 'Successful logout'); }else{ $this->sendResponse(Status::BAD_REQUEST, 'Logout was not successful'); } } 

यहां सब कुछ सरल है। बस अपनी सभी सामग्री के साथ वर्तमान सत्र को नष्ट कर दें।

मैं एपीआई में सत्र का उपयोग करने के लिए कुछ सुझाव भी नोट करना चाहता हूं:

1) क्लाइंट और सर्वर के बीच संचार के लिए एक एन्क्रिप्टेड कनेक्शन का उपयोग करना महत्वपूर्ण है, ताकि हमलावर को इसके आगे के उपयोग के लिए सत्र पहचानकर्ता को अवरोधन करने की अनुमति न दें। उदाहरण के लिए, आप HTTPS प्रोटोकॉल का उपयोग कर सकते हैं।

2) यदि आप किसी हमलावर द्वारा सत्र को रोक दिया गया था तो आप अतिरिक्त सत्र प्रमाणीकरण एल्गोरिदम का उपयोग कर सकते हैं। उदाहरण के लिए, उपयोगकर्ता के आईपी के लिए एक सत्र को बांधें, इसके अलावा आईपी को सत्र के अंदर रखें और जांचें कि क्या यह अगले कॉल के दौरान बदल गया है। यदि पहले से सहेजा गया आईपी वर्तमान से मेल नहीं खाता है, तो आपको सत्र को नष्ट करने की आवश्यकता है।

3) सत्र के जीवनकाल पर एक सीमा रखें। चूंकि यह समय एपीआई के लिए अगले अनुरोध पर स्वचालित रूप से अपडेट किया जाता है, मैं उदाहरण के लिए, 2 घंटे सेट करूंगा। इस प्रकार, यदि उपयोगकर्ता 2 घंटे के लिए निष्क्रिय है, तो सत्र स्वचालित रूप से नष्ट हो जाता है। यह सत्र भंडारण के अतिप्रवाह की संभावना को कम करेगा।

अंत में, वाईआईआई में लिखे गए रेस्ट एपीआई में प्राधिकरण पर एक लघु डेमो वीडियो रेडिस में भंडारण सत्रों के साथ काम करता है।



लेख लेखक: लक्ज़रीदाब