PHP API 安全：限制特定客户端访问的实用指南

<?php
// 验证 API 密钥
function validateApiKey($apiKey) {
  // 从数据库中查找 API 密钥
  $validApiKey = getApiKeyFromDatabase($apiKey);

  if ($validApiKey) {
    return true; // API 密钥有效
  } else {
    return false; // API 密钥无效
  }
}

// 获取请求中的 API 密钥
$apiKey = $_SERVER['HTTP_API_KEY'] ?? ''; // 假设 API 密钥在 HTTP 头中传递

// 验证 API 密钥
if (!validateApiKey($apiKey)) {
  http_response_code(401); // 未授权
  echo json_encode(['error' => 'Invalid API key']);
  exit;
}

// 继续处理请求...
?>

<?php
require_once 'vendor/autoload.php'; // 引入 JWT 库 (例如 Firebase JWT)

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

// 验证 JWT 令牌
function validateJWT($jwt) {
  $key = "your_secret_key"; // 替换为你的密钥
  try {
    $decoded = JWT::decode($jwt, new Key($key, 'HS256'));
    return true; // 令牌有效
  } catch (\Exception $e) {
    return false; // 令牌无效
  }
}

// 获取请求中的 JWT 令牌
$jwt = $_SERVER['HTTP_AUTHORIZATION'] ?? ''; // 假设 JWT 令牌在 Authorization 头中传递

// 验证 JWT 令牌
if (!validateJWT($jwt)) {
  http_response_code(401); // 未授权
  echo json_encode(['error' => 'Invalid JWT token']);
  exit;
}

// 继续处理请求...
?>

<?php
// 验证自定义请求头
function validateCustomHeader($headerName, $expectedValue) {
  $headerValue = $_SERVER['HTTP_' . strtoupper(str_replace('-', '_', $headerName))] ?? '';
  if ($headerValue === $expectedValue) {
    return true; // 请求头有效
  } else {
    return false; // 请求头无效
  }
}

// 验证 X-Client-ID 请求头
if (!validateCustomHeader('X-Client-ID', 'your_app_id')) {
  http_response_code(401); // 未授权
  echo json_encode(['error' => 'Invalid X-Client-ID header']);
  exit;
}

// 继续处理请求...
?>