共有秘密鍵でAPIを保護する

Question

私はREST APIを開始しており、ハッシングと共有塩/秘密の研究を開始しています。 私はsha256ハッシュを生成することができ、json経由でサーバーに送信し、格納されたハッシュと照合しました。

これは素晴らしいことですが、私は思っています。これはjsonでこれを行いました。実際に生成されたハッシュは、それを望むすべての人にはまだ見えています。 hash_hmacを使用して文字列を再ハッシュするたびにこれらのハッシュが変更されたという印象を受けました。

どうすればランダムなユーザーがその小さなjsonスニペットを見つけて、ハッシュされたキーを取得してAPI呼び出しを開始しないようにすることができますか？

私はコンセプトを完全に誤解している可能性がありますので、どんなバンプも大歓迎です。

HERESに私の "クライアント" のページ：

<?php 
$key= hash_hmac('sha256', '66c74620db28603fe4bec7b0f3a8e53b', 'gwerganaevawe21_3faseghbamoirvQWD'); 
?> 
<script> 
$.getJSON("domain.com/api/publicCourseSession.php?key=<?php echo $key;?>", function(data) { 
    $.each(data, function(key, val) { 
    console.log(val); 
    }); 
}); 
</script> 

そして、ここでは私のpublicCourseSession.phpです：

header("Content-Type: application/json"); 
    header('Access-Control-Allow-Origin: *'); 
    $apikey =$_GET['key']; 
    session_start(); 
    function hash_compare($a, $b) { 
     if (!is_string($a) || !is_string($b)) { 
      return false; 
     } 

     $len = strlen($a); 
     if ($len !== strlen($b)) { 
      return false; 
     } 

     $status = 0; 
     for ($i = 0; $i < $len; $i++) { 
      $status |= ord($a[$i])^ord($b[$i]); 
     } 
     return $status === 0; 
    } 
    $currentnetwork = getCurrentNetwork(); 
    $currentkey = getNetworkApiKey(getNetworkId($currentnetwork)); 
    $currentsecret = getNetworkApiSecret(getNetworkId($currentnetwork)); 
    $currentkey= hash_hmac('sha256', $currentkey, $currentsecret); 
    if (hash_compare($apikey,$currentkey)) { 
     $status='correct'; 
    } else { 
     $status='not correct'; 
    } 

    $arr[] = ["key"=>$apikey, "currentkey"=>$currentkey, "correctkeys"=>$status]; 
    echo json_encode($arr); 

Answer 1

あなたはそれだステップ1.

事はすることができます、である、よくやりましたブラウザでのみセキュリティを守る - ユーザー名/パスワードなどの認証情報を使用して自分自身を認証すると、秘密鍵をユーザーに提供する必要があります。彼が秘密鍵を持っていれば、彼は彼の要求を認証するためにそれを使用することができます、そして、彼はもはやユーザー名/パスワードをインターウェブを渡って前後に送る必要はありません。

秘密鍵のゴールは、セッションを開始しました。セッションを開始するには、まず自分自身を認証する必要があります。そうしないと、目的を破る秘密鍵を誰かに提供することになります。

また、キーはユーザーごとに生成され、x時間後に期限切れになり、無期限に使用できなくなります。

希望すると便利です。