从 php 为 android 创建访问令牌

Question

我会在我的 Android 应用程序中使用令牌保护用户帐户。 此应用使用 PHP REST API 来获取数据。

为了创建我使用的安全令牌：

$secret="MySecretKey";
$token=bin2hex(random_bytes(64));
$hashtoken=hash_hmac("sha-256",$token,$secret);

现在我必须发送$hashtoken 作为 android 应用程序的令牌吗？ 还是我必须将哈希令牌保存在我的数据库中并发送十六进制令牌？

如果我没有使令牌过期，这种方法是否足够安全？ 感谢您的帮助。

Answer 1

在登录时，您在服务器端生成一个访问令牌，并根据用户 ID 将其保存在数据库中。然后将此令牌发送到应用程序。当 API 将从 android 设备调用时，此令牌应由 android 在标头部分发送。每次服务器都会匹配访问令牌是否有效。