我有一个 PHP 脚本可以生成一些字符串，这些字符串将用作许可证 key :

function KeyGen(){
     $key = md5(microtime());
     $new_key = '';
     for($i=1; $i <= 25; $i ++ ){
               $new_key .= $key[$i];
               if ( $i%5==0 && $i != 25) $new_key.='-';
     }
  return strtoupper($new_key);
  }
$x = 0;
while($x <= 10) {
  echo KeyGen();
  echo "<br />";
$x++; 
}

运行一次脚本后，我得到了这些:

8B041-EC7D2-0B9E3-09846-E8C71
C8D82-514B9-068BC-8BF80-05061
A18A3-E05E5-7DED7-D09ED-298C4
FB1EC-C9844-B9B20-ADE2F-0858F
E9AED-945C8-4BAAA-6938D-713ED
4D284-C5A3B-734DF-09BD6-6A34C
EF534-3BAE4-860B5-D3260-1CEF8
D84DB-B8C72-5BDEE-1B4FE-24E90
93AF2-80813-CD66E-E7A5E-BF0AE
C3397-93AA3-6239C-28D9F-7A582
D83B8-697C6-58CD1-56F1F-58180

我现在要做的是更改它，以便我有另一个函数来检查 key 是否已使用我的脚本生成。目前，我在想的是将 $key 设置为一个特定字符串的 MD5(例如，test)，但是，当然，这会返回所有相同的字符串.

有人能帮忙吗？

最佳答案

有三种基本的处理方法。您如何操作将取决于您生成的 key 数量，以及能够在以后使 key 失效的重要性。选择哪种取决于您。

选项 1:服务器数据库存储

当服务器生成 key (例如使用您的算法)时，您将其存储在数据库中。然后稍后您需要做的就是检查 key 是否在数据库中。

注意您的算法需要的熵比您提供的要多得多。当前时间戳不够。相反，使用强随机性:

$key = mcrypt_create_iv($length_needed, MCRYPT_DEV_URANDOM);

或者，如果您没有 mcrypt:

$key = openssl_random_pseudo_bytes($length_needed);

或者，如果您没有 mcrypt 和 openssl，请使用 a library

请注意，md5 返回一个十六进制输出 (a-f0-9)，其中所有上述返回完全随机二进制字符串(字符 0 - 255)。所以要么 base64_encode() 它，要么 bin2hex() 它。

优点:

• 易于实现
• 可以在以后“停用”颁发的 key
• 无法伪造新 key

缺点:

• 需要每个 key 的持久存储
• 可能无法很好地扩展
• 需要“ key 服务器”来验证 key

选项 2:签名 key

基本上，您生成一个强随 secret 钥(从这里开始称为私钥)，并将其存储在您的服务器上。然后，在生成许可证 key 时，您生成一个随机 blob，然后 HMAC 使用私钥对其进行签名，并使许可证成为该 block 的一部分。这样，您就不需要存储每个单独的 key 。

function create_key($private_key) {
    $rand = mcrypt_create_iv(10, MCRYPT_DEV_URANDOM);
    $signature = substr(hash_hmac('sha256', $rand, $private_key, true), 0, 10);
    $license = base64_encode($rand . $signature);
    return $license;
}

function check_key($license, $private_key) {
    $tmp = base64_decode($license);
    $rand = substr($tmp, 0, 10);
    $signature = substr($tmp, 10);
    $test = substr(hash_hmac('sha256', $rand, $private_key, true), 0, 10);
    return $test === $signature;
}
    

优点:

• 易于实现
• 不需要持久存储
• 微不足道的规模

缺点:

• 不能单独“停用” key
• 需要存储“私钥”
• 需要“ key 服务器”来验证 key 。

选项 3:公钥加密

基本上，您生成一个公钥/私钥对。您将公钥嵌入到您的应用程序中。然后，您生成一个 key (类似于上面的“签名 key ”)，但不是使用 HMAC 签名，而是使用私钥对其进行签名。

这样，应用程序(拥有公钥)可以直接验证签名，而无需回调到您的服务器。

function create_key($private_key) {
    $rand = mcrypt_create_iv(10, MCRYPT_DEV_URANDOM);

    $pkeyid = openssl_get_privatekey($private_key);
    openssl_sign($rand, $signature, $pkeyid);
    openssl_free_key($pkeyid);

    $license = base64_encode($rand . $signature);
    return $license;
}

function check_key($license, $public_key) {
    $tmp = base64_decode($license);
    $rand = substr($tmp, 0, 10);
    $signature = substr($tmp, 10);

    $pubkeyid = openssl_get_publickey($public_key);
    $ok = openssl_verify($rand, $signature, $pubkeyid);
    openssl_free_key($pubkeyid);

    return $ok === 1;
}

优点:

• 易于实现
• 不需要持久存储
• 微不足道的规模
• 不需要“ key 服务器”来验证 key

缺点:

• 不能单独“停用” key
• 需要存储“私钥”

关于php - 检查生成的许可证是否有效，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/16213566/