認證

認證是鑒定用戶身份的過程。它通常使用一個標識符 （如用戶名或電子郵件地址）和一個加密令牌（比如密碼或者存取令牌）來 鑒別用戶身份。認證是登錄功能的基礎。

Yii提供了一個認證框架，它連接了不同的組件以支持登錄。欲使用這個框架， 你主要需要做以下工作：

• 設置用戶組件 yii\web\User ;
• 創(chuàng)建一個類實現 yii\web\IdentityInterface 接口。

配置 yii\web\User

用戶組件 yii\web\User 用來管理用戶的認證狀態(tài)。這需要你 指定一個含有實際認證邏輯的認證類 yii\web\User::identityClass。 在以下web應用的配置項中，將用戶用戶組件 yii\web\User 的 認證類 yii\web\User::identityClass 配置成 模型類?app\models\User， 它的實現將在下一節(jié)中講述。

return [
    'components' => [
        'user' => [
            'identityClass' => 'app\models\User',
        ],
    ],
];

認證接口 yii\web\IdentityInterface 的實現

認證類 yii\web\User::identityClass 必須實現包含以下方法的 認證接口 yii\web\IdentityInterface：

• yii\web\IdentityInterface::findIdentity()：根據指定的用戶ID查找 認證模型類的實例，當你需要使用session來維持登錄狀態(tài)的時候會用到這個方法。
• yii\web\IdentityInterface::findIdentityByAccessToken()：根據指定的存取令牌查找 認證模型類的實例，該方法用于 通過單個加密令牌認證用戶的時候（比如無狀態(tài)的RESTful應用）。
• yii\web\IdentityInterface::getId()：獲取該認證實例表示的用戶的ID。
• yii\web\IdentityInterface::getAuthKey()：獲取基于 cookie 登錄時使用的認證密鑰。 認證密鑰儲存在 cookie 里并且將來會與服務端的版本進行比較以確保 cookie的有效性。
• yii\web\IdentityInterface::validateAuthKey() ：是基于 cookie 登錄密鑰的 驗證的邏輯的實現。

用不到的方法可以空著，例如，你的項目只是一個 無狀態(tài)的 RESTful 應用，只需實現 yii\web\IdentityInterface::findIdentityByAccessToken() 和 yii\web\IdentityInterface::getId() ，其他的方法的函數體留空即可。

下面的例子是一個通過結合了?user?數據表的 AR 模型?Active Record?實現的一個認證類 yii\web\User::identityClass。

<?php

use yii\db\ActiveRecord;
use yii\web\IdentityInterface;

class User extends ActiveRecord implements IdentityInterface{
    public static function tableName()
    {
        return 'user';
    }

    
    public static function findIdentity($id)
    {
        return static::findOne($id);
    }

    
    public static function findIdentityByAccessToken($token, $type = null)
    {
        return static::findOne(['access_token' => $token]);
    }

    
    public function getId()
    {
        return $this->id;
    }

    
    public function getAuthKey()
    {
        return $this->auth_key;
    }

    
    public function validateAuthKey($authKey)
    {
        return $this->getAuthKey() === $authKey;
    }
}

如上所述，如果你的應用利用 cookie 登錄， 你只需要實現?getAuthKey()?和?validateAuthKey()?方法。這樣的話，你可以使用下面的代碼在?user?表中生成和存儲每個用戶的認證密鑰。

class User extends ActiveRecord implements IdentityInterface{
    ......
    
    public function beforeSave($insert)
    {
        if (parent::beforeSave($insert)) {
            if ($this->isNewRecord) {
                $this->auth_key = \Yii::$app->security->generateRandomString();
            }
            return true;
        }
        return false;
    }
}

注意：不要混淆?user?認證類和用戶組件 yii\web\User。前者是實現 認證邏輯的類，通常用關聯(lián)了 持久性存儲的用戶信息的AR模型?Active Record?實現。后者是負責管理用戶認證狀態(tài)的 應用組件。

使用用戶組件 yii\web\User

在?user?應用組件方面，你主要用到 yii\web\User 。

你可以使用表達式?Yii::$app->user->identity?檢測當前用戶身份。它返回 一個表示當前登錄用戶的認證類 yii\web\User::identityClass 的實例， 未認證用戶（游客）則返回 null。下面的代碼展示了如何從 yii\web\User 獲取其他認證相關信息：

// 當前用戶的身份實例。未認證用戶則為 Null 。$identity = Yii::$app->user->identity;

// 當前用戶的ID。 未認證用戶則為 Null 。$id = Yii::$app->user->id;

// 判斷當前用戶是否是游客（未認證的）$isGuest = Yii::$app->user->isGuest;

你可以使用下面的代碼登錄用戶：

// 使用指定用戶名獲取用戶身份實例。// 請注意，如果需要的話您可能要檢驗密碼$identity = User::findOne(['username' => $username]);

// 登錄用戶
Yii::$app->user->login($identity);

yii\web\User::login() 方法將當前用戶的身份登記到 yii\web\User。如果 session 設置為 yii\web\User::enableSession，則使用 session 記錄用戶身份，用戶的 認證狀態(tài)將在整個會話中得以維持。如果開啟自動登錄 yii\web\User::enableAutoLogin 則基于 cookie 登錄（如：記住登錄狀態(tài)），它將使用 cookie 保存用戶身份，這樣 只要 cookie 有效就可以恢復登錄狀態(tài)。

為了使用 cookie 登錄，你需要在應用配置文件中將 yii\web\User::enableAutoLogin 設為 true。你還需要在 yii\web\User::login() 方法中 傳遞有效期（記住登錄狀態(tài)的時長）參數。

注銷用戶：

Yii::$app->user->logout();

請注意，啟用 session 時注銷用戶才有意義。該方法將從內存和 session 中 同時清理用戶認證狀態(tài)。默認情況下，它還會注銷所有的 用戶會話數據。如果你希望保留這些會話數據，可以換成?Yii::$app->user->logout(false)?。

認證事件

yii\web\User 類在登錄和注銷流程引發(fā)一些事件。

• yii\web\User::EVENT_BEFORE_LOGIN：在登錄 yii\web\User::login() 時引發(fā)。 如果事件句柄將事件對象的 yii\web\UserEvent::isValid 屬性設為 false， 登錄流程將會被取消。
• yii\web\User::EVENT_AFTER_LOGIN：登錄成功后引發(fā)。
• yii\web\User::EVENT_BEFORE_LOGOUT：注銷 yii\web\User::logout() 前引發(fā)。 如果事件句柄將事件對象的 yii\web\UserEvent::isValid 屬性設為 false， 注銷流程將會被取消。
• yii\web\User::EVENT_AFTER_LOGOUT：成功注銷后引發(fā)。