如何在 PHP 软件上实现 API 密钥？

Question

我正在分发一个 PHP 创建的插件，如 Wordpress 插件，但我想为它实现一个 API 密钥，用户需要输入一个 API 密钥来解锁它才能工作。

如何做到这一点？是的，我已经知道它很容易被绕过，因为 PHP 没有被编译，但至少它会阻止一些没有 PHP 知识的人。

谢谢..

Answer 1

我认为您不了解 API 密钥是什么。

API 密钥是允许您或脚本访问 API 或在线服务并与之交互的密钥。

您似乎描述的是某种许可证密钥，它会阻止用户在没有付款或注册的情况下操作您的脚本。

虽然 API 密钥通常确实需要付款或注册，但这两者确实不是一回事。

API 密钥通常用于跟踪使用情况，并防止滥用在线服务和数据。

在您的情况下，您似乎只是试图限制对您的脚本的访问。

除非您的脚本对远程数据源具有基本依赖关系，否则此方法将不起作用，因为任何对 PHP 有一定了解的用户只会删除执行验证的代码。

对于 PHP，这同样适用于许可证密钥。用户会想办法绕过它，除非他们需要它来执行脚本。

验证必须远程执行，并且必须有一些激励措施使其保持原样（访问远程数据是显而易见的）。

Answer 2

您可以使用 API 密钥对实际源代码进行加扰。加密源代码的一些重要部分（例如使用 libmcrypt），并让脚本加载和解密源代码。当然，找到相关例程的人可以轻松地将源转储到磁盘并使用它，但这不会像删除检查那么简单。

Answer 3

这绝对没有意义。作为它的 php，您必须发送源代码，任何用户都可以删除许可证检查代码并运行它。

除了人们不喜欢弄乱许可证密钥之外，除非你的软件真的非常有用、可取或必不可少，他们要么会找到一个免费的替代方案，要么就是不理会它。

Answer 4

如果您不关心人们删除您的支票，那么您实际上只需要添加一个if 语句来验证配置的许可证密钥是否有效。

我注意到您提到您的许可证密钥只是 SHA1 哈希。您可以轻松地将额外的 4 个字符附加到哈希中，您可以将其用作校验和。

例如：

function generate_key()
{
  $serial = sha1(uniqid(rand(), true));
  $checksum = substr(md5($serial), 0, 4);
  return $serial . $checksum;
}

function verify_key($key)
{
  $serial = substr($key, 0, 40);
  $checksum = substr($key, -4);
  return md5($serial, 0, 4) == $checksum;
}

这是一个非常简单的例子，但它只是指导性的。

基本上，您将验证许可证密钥在主机服务器上是否有效，而不是在您的服务器上 ping 脚本。

这样做的缺点是任何人都可以通过打开源代码并找到validate_key来生成有效密钥。

您可以让它调用外部脚本来执行verify_key，但这真的值得吗？此外，您将牺牲页面加载时间来验证密钥。

我记得 vBulletin 有一个非常容易破解的许可系统，但是他们在几个部分中有一个隐藏的 1x1 图像，可以在他们的域上 ping 一个脚本。使用这些日志，他们能够确定哪些域托管了他们软件的非法副本，他们只需向管理员发送一封律师函。

如果您想要一个更强大的解决方案，我建议您查看Zend Guard，但您似乎并不关心破解您的软件的人，所以我个人会尽可能简单。